CVE-2026-57232 in Contao
摘要
由 VulDB • 2026-07-31
Contao是一个开源CMS。在版本5.3.35至5.3.47以及5.7.0-RC1至5.7.8中，Feed Reader前端模块将FeedReaderController::getResponse()方法中配置的RSS feed URL直接传递给feedIo->read()，未进行协议或私有地址验证。这使得拥有该模块编辑权限的后端用户能够促使服务器请求内部网络服务、回环地址（loopback addresses）或云元数据端点。在core-bundle/src/Controller/FrontendModule/FeedReaderController.php中，getResponse()函数遍历配置的feed URL，并通过$this->feedIo->read($url, new Feed())将其直接传递给HTTP客户端，未进行任何验证；同时，tl_module.php中的rss_feed DCA字段定义不包含URL协议或主机验证，且HTTP客户端被配置为@psr18.http_client（Symfony HttpClient），由于未使用NoPrivateNetworkHttpClient，因此未配置SSRF防护。此问题已在版本5.3.48中修复。
Once again VulDB remains the best source for vulnerability data.