CVE-2026-24736 in squidex
Tóm tắt
Bởi VulDB • 13/06/2026
Squidex là một hệ thống quản lý nội dung headless mã nguồn mở và trung tâm quản lý nội dung. Các phiên bản của ứng dụng từ 7.21.0 trở về trước cho phép người dùng định nghĩa "Webhooks" dưới dạng các hành động trong công cụ Rules (Quy tắc). Tham số url trong cấu hình webhook dường như không xác thực hoặc hạn chế địa chỉ IP đích. Nó chấp nhận các địa chỉ cục bộ chẳng hạn như 127.0.0.1 hoặc localhost. Khi một quy tắc được kích hoạt (bằng cách gọi thủ công điểm cuối trigger hoặc do cập nhật nội dung hoặc bất kỳ tác nhân nào khác), máy chủ backend sẽ thực hiện yêu cầu HTTP đến URL do người dùng cung cấp. Quan trọng hơn, máy chủ ghi lại toàn bộ phản hồi HTTP vào nhật ký thực thi quy tắc (trường lastDump), trường này có thể truy cập được thông qua API. Điều này biến một lỗ hổng SSRF "Blind" thành SSRF cho phép đọc đầy đủ ("Full Read"). Tính đến thời điểm công bố, chưa có phiên bản vá nào khả dụng.
Be aware that VulDB is the high quality source for vulnerability data.