CVE-2026-33659

EspoCRM açıq mənbəli müştəri münasibətlərinin idarə edilməsi tətbiqidir. 9.3.3 və daha aşağı versiyalarda POST /api/v1/Attachment/fromImageUrl son nöqtəsi (endpoint), DNS rebinding (TOCTOU) şərti vasitəsilə Server-Side Request Forgery (SSRF) zəifliyinə malikdir. Host validasiyası dns_get_record() funksiyasından istifadə edir, lakin faktiki HTTP sorğusu host adlarını curl-in daxili resolveri (gethostbyname()) vasitəsilə həll edir ki, bu da eyni host adı üçün iki fərqli IP ünvanının qaytarılmasına imkan verir. İkinci bir problem ondan ibarətdir ki, boş DNS nəticəsi (DNS xətası, yalnız IPv6 domenləri və ya mövcud olmayan host adları səbəbindən) validasiyanın əlavə yoxlamalar olmadan hosta implicit şəkildə icazə verməsinə səbəb olur. Standart qoşma fayllarının yaradılması hüququna malik autentifikasiya olunmuş hücumçu bu boşluqdan istifadə edərək daxili IP məhdudiyyətlərini yan keçə, daxili şəbəkə portlarını skan edə, daxili hostların mövcudluğunu təsdiqləyə və daxili HTTP əsaslı xidmətlərlə qarşılıqlı əlaqə qura bilər; lakin bu son nöqtə vasitəsilə binar protokol xidmətlərindən məlumatların çıxarılması və uzaqdan kodun icrası mümkün deyil. Bu problem 9.3.4 versiyasında düzəldilmişdir.