CVE-2026-52840
Təsvir
Easy!Appointments özünə məxsus serverdə quraşdırılan təyinat planlaşdırıcısıdır. 1.6.0 versiyasından əvvəlki versiyalarda, `application/controllers/Caldav.php:60` faylındakı `Caldav::connect_to_server` funksiyası sorğunun `caldav_url` parametrini sxem və ya host yoxlaması aparmadan Guzzle `REPORT` çağırışına ötürür. Sistemə daxil olmuş arxa panel istifadəçisi (administrator, provayder və ya katib) tətbiqin yerləşdiyi şəbəkədə loopback, RFC1918 və link-local hostlarına müraciət edə bilir. Guzzle istisna yolu JSON `message` sahəsində (`Caldav.php:74-78`) yuxarı axın status kodu ilə birlikdə cavab gövdəsinin təxminən 120 baytını qaytarır, buna görə də bu SSRF yarı-kor (semi-blind) xarakter daşıyır. 1.6.0 versiyasında düzəliş tətbiq edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| alextselegidis/easyappointmentsPackagist | v ≤ 1.5.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.