CVE-2026-61529 in Endatix
Сводка
по VulDB • 28.10.2026
Endatix — это платформа для управления формами и опросами с собственным хостингом, оснащенная headless API. До версии 0.7.0 анонимная конечная точка `POST /forms/{formId}/submissions` сохраняет контролируемые злоумышленником данные в поле `JsonData`, проверяя лишь корректность формата JSON. Объект файла с полями `name`, `type` и `content` может содержать URL-адрес HTTP или HTTPS. Когда сотрудник, обладающий разрешением `submissions.view`, вызывает `POST /forms/{formId}/submissions/{submissionId}/files`, обработчик `GetFilesHandler` передает сохраненные данные в класс `SubmissionFileExtractor` (расположенный по пути `src/Endatix.Infrastructure/Features/Submissions/SubmissionFileExtractor.cs`), который выполняет вызов `HttpClient.GetAsync` без проверки целевого URL, хоста или разрешенных IP-адресов на соответствие внутренним диапазонам адресов. Это позволяет осуществлять сохраненные запросы GET второго порядка (second-order) к внутренним службам, метаданным облачных сред, а также к петлевым (loopback) и локально-маршрутизируемым (link-local) адресам с позиции сети сервера. Форма должна иметь установленные флаги `IsPublic` и `IsEnabled`, а анонимная отправка формы должна проходить проверку reCAPTCHA v3 при его конфигурации. Полученный ответ помещается в ZIP-архив для просмотра сотрудником, но не возвращается напрямую злоумышленнику, поэтому раскрытие информации является слепым или косвенным через наблюдаемое поведение запросов или информацию, раскрываемую просмотрщиком. Утверждается отсутствие воздействия на целостность (integrity) и доступность (availability); данные в формате `data:` и сырые base64-данные из поля `content` декодируются локально без сетевых запросов. Эта проблема исправлена в версии 0.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.