CVE-2026-33659 in EspoCRM
Сводка
по VulDB • 13.06.2026
EspoCRM — это приложение для управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом. В версиях 9.3.3 и более ранних конечная точка POST /api/v1/Attachment/fromImageUrl уязвима к Server-Side Request Forgery (SSRF) из-за условия гонности состояний времени проверки и использования (TOCTOU), связанного с DNS-rebinding. Проверка хоста использует функцию dns_get_record(), однако фактический HTTP-запрос разрешает имена хостов через внутренний резолвер curl (gethostbyname()), что позволяет двум операциям разрешения возвращать разные IP-адреса для одного и того же имени хоста. Существует дополнительная проблема: пустой результат DNS (из-за сбоя DNS, доменов с поддержкой только IPv6 или несуществующих имен хостов) приводит к неявному разрешению доступа к хосту без дополнительных проверок. Атакующий с аутентифицированным доступом и правами по умолчанию на создание вложений может использовать эту уязвимость для обхода ограничений внутренних IP-адресов, сканирования портов внутренней сети, подтверждения наличия внутренних узлов и взаимодействия со внутренними HTTP-сервисами; однако извлечение данных через сервисы бинарных протоколов и удаленное выполнение кода (RCE) с помощью этой конечной точки невозможны. Проблема исправлена в версии 9.3.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.