CVE-2026-33534

EspoCRM açıq mənbəli müştəri münasibətlərinin idarə edilməsi tətbiqidir. 9.3.3 və daha aşağı versiyalarda, okta notationsu kimi alternativ IPv4 təmsillərindən istifadə etməklə (məsələn, 127.0.0.1 əvəzinə 0177.0.0.1) daxili host validasiya məntiqini yan keçməyə imkan verən autentifikasiya olunmuş Server-Side Request Forgery (SSRF) zəifliyi mövcuddur. Bu, HostCheck::isNotInternalHost() funksiyasının alternativ IP formatlarını tanımayan PHP-nin filter_var(..., FILTER_VALIDATE_IP) funksiyasından asılı olması səbəbindən baş verir; bu da validasiyanın heç bir qeyd qaytarmayan DNS sorğusuna keçməsinə və hostun yanlış şəkildə təhlükəsiz hesab edilməsinə səbəb olur, lakin sonradan cURL ünvanı normallaşdırır və loopback təyinat nöqtəsinə qoşulur. Təsdiqlənmiş /api/v1/Attachment/fromImageUrl endpointi vasitəsilə autentifikasiya olunmuş istifadəçi serveri yalnız loopback-ə aid olan xidmətlərə sorğular göndərməyə məcbur edə və alınan cavabı qoşma kimi saxlaya bilər. Bu zəiflik CVE-2023-46736-dən (hansı ki, yönləndirmə əsaslı SSRF ilə bağlı idi) fərqlidir və tətbiqin iş mühitindən əlçatan olan daxili resurslara girişə imkan verə bilər. Bu problem 9.3.4 versiyasında düzəldilmişdir.