CVE-2026-57232
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Contao CMS w wersjach 5.3.35 do 5.3.47 oraz 5.7.0-RC1 do 5.7.8 zawiera podatność SSRF w module Feed Reader. Użytkownik backendu z uprawnieniami do edycji modułów może sprawić, że serwer wykona żądania do wewnętrznych usług sieciowych, adresów pętli zwrotnej lub punktów końcowych metadanych chmury.
Ocena ryzyka
Atakujący może skanować wewnętrzną sieć, uzyskać dostęp do poufnych usług lub wykraść dane uwierzytelniające z metadanych chmury.
Rekomendacja
Zaktualizuj Contao do wersji 5.3.48 lub nowszej, która zawiera poprawkę.
Inne podatności w Contao
Zobacz wszystkie- CVE-2017-10993Wysokie
Contao w wersjach przed 3.5.28 oraz 4.x przed 4.4.1 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików PHP poprzez spreparowany parametr w URL, co jest znane jako przejście do katalogu.
- CVE-2026-55825Niskie
Contao CMS w wersjach 5.7.0 do 5.7.6 zawiera podatność na ominięcie autoryzacji między zadaniami. Uwierzytelniony użytkownik backendu może odczytać załączniki z innych zadań, manipulując identyfikatorem załącznika za pomocą sekwencji '../'.
- CVE-2026-55824Niskie
Contao CMS w wersjach 4.13.40 do 5.3.46 oraz 5.7.0-RC1 do 5.7.6 zawiera podatność na wyciek danych uwierzytelniających przez crawler. Crawler nieprawidłowo czyści opcje uwierzytelniania, przez co dane uwierzytelniające mogą zostać wysłane do zewnętrznych hostów.
- CVE-2026-48956Średnie
Podatność w systemie Contao umożliwia nieautoryzowanym użytkownikom wyświetlenie listy modułów w interfejsie frontendowym z powodu nieprawidłowej kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Contao is an Open Source CMS. From 5.3.35 through 5.3.47 and from 5.7.0-RC1 through 5.7.8, the Feed Reader front-end module passes configured RSS feed URLs from FeedReaderController::getResponse() to feedIo->read() without scheme or private-address validation, allowing a backend user with module-edit permissions to make the server request internal network services, loopback addresses, or cloud metadata endpoints. In core-bundle/src/Controller/FrontendModule/FeedReaderController.php, the getResponse() function iterates over the configured feed URLs and passes each one directly to the HTTP client (via $this->feedIo->read($url, new Feed())) with no validation, while the DCA field definition for rss_feed in tl_module.php carries no URL scheme or host validation and the HTTP client is wired as @psr18.http_client (Symfony HttpClient) with no SSRF protection configured, since NoPrivateNetworkHttpClient is not used. This issue is fixed in versions 5.3.48.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS