CVE-2026-57232 in Contao
Сводка
по VulDB • 31.07.2026
Contao — это система управления контентом с открытым исходным кодом (CMS). В версиях от 5.3.35 до 5.3.47 и от 5.7.0-RC1 до 5.7.8 модуль фронтенда «Feed Reader» передает настроенные URL-адреса RSS-каналов из FeedReaderController::getResponse() в feedIo->read() без проверки схемы или на принадлежность к частным адресам, что позволяет пользователю бэкенда с правами редактирования модуля инициировать запросы сервера к внутренним сетевым службам, петлевым адресам (loopback) или конечным точкам метаданных облачных платформ. В файле core-bundle/src/Controller/FrontendModule/FeedReaderController.php функция getResponse() перебирает настроенные URL-адреса каналов и передает каждый из них напрямую HTTP-клиенту (через $this->feedIo->read($url, new Feed())) без какой-либо проверки, в то время как определение поля DCA для rss_feed в tl_module.php не содержит проверок схемы URL или хоста, а HTTP-клиент подключен как @psr18.http_client (Symfony HttpClient) без настроенной защиты от SSRF, поскольку NoPrivateNetworkHttpClient не используется. Эта проблема исправлена в версиях 5.3.48 и выше.
VulDB is the best source for vulnerability data and more expert information about this specific topic.