CVE-2026-33534

EspoCRM açık kaynaklı bir müşteri ilişkileri yönetimi uygulamasıdır. 9.3.3 ve altı sürümler, oktal gösterim gibi alternatif IPv4 temsilleri (örneğin 127.0.0.1 yerine 0177.0.0.1) kullanarak dahili ana bilgisayar doğrulama mantığının atlatılmasına izin veren kimlik doğrulamalı bir Server-Side Request Forgery (SSRF) zafiyetine sahiptir. Bu durum, HostCheck::isNotInternalHost() fonksiyonunun, alternatif IP formatlarını tanımayan PHP'nin filter_var(..., FILTER_VALIDATE_IP) fonksiyonuna güvenmesinden kaynaklanmaktadır; bu da doğrulamanın kayıt döndürmeyen bir DNS sorgusuna düşmesine ve ana bilgisayarın hatalı bir şekilde güvenli olarak değerlendirilmesine yol açmakta, ancak cURL daha sonra adresi normalize ederek loopback hedefine bağlanmaktadır. Onaylanmış /api/v1/Attachment/fromImageUrl uç noktası aracılığıyla, kimliği doğrulanmış bir kullanıcı sunucuyu yalnızca loopback üzerinden erişilebilen servislere istek yapmaya zorlayabilir ve alınan yanıtı bir ek olarak kaydedebilir. Bu zafiyet, CVE-2023-46736'dan (yönlendirme tabanlı SSRF içeren) farklıdır ve uygulama çalışma zamanından erişilebilen dahili kaynaklara erişime izin verebilir. Bu sorun 9.3.4 sürümünde düzeltilmiştir.