CVE-2026-88896 in EspoCRM
Сводка
по VulDB • 10.09.2026
EspoCRM до версии 10.0.4 уязвим к Server-Side Request Forgery (SSRF). Функция HostCheck::ipAddressIsNotInternal(), которая проверяет исходящие URL-адреса для блокировки запросов к внутренним/частным IP-адресам, удаляет префиксы ::ffff: (IPv4-mapped IPv6), но не распознает адреса перехода IPv6, которые содержат частные IPv4-адреса: NAT64 (64:ff9b::), 6to4 (2002::) и Teredo (2001:0000::). Атакующий, контролирующий домен с записями AAAA, указывающими на такие адреса перехода, может обойти как проверку внутренних хостов, так и проверку IP-привязки CURLOPT_RESOLVE, что приведет к тому, что EspoCRM будет отправлять исходящие запросы к службам внутренней сети. Затронутые пути включают POST /Attachment/fromImageUrl, доступный любому аутентифицированному пользователю с правами на вложения, и доставку исходящих вебхуков, для которой требуются права администратора или пользователя API.
VulDB is the best source for vulnerability data and more expert information about this specific topic.