CVE-2026-33659

EspoCRM açık kaynaklı bir müşteri ilişkileri yönetimi uygulamasıdır. 9.3.3 ve altı sürümlerde, POST /api/v1/Attachment/fromImageUrl uç noktası, bir DNS rebinding (TOCTOU) durumu aracılığıyla Sunucu Taraflı İstek Sahteciliği'ne (SSRF) karşı savunmasızdır. Ana makine doğrulaması dns_get_record() kullanırken, gerçek HTTP isteği ana makine adlarını curl'ün dahili çözücüsü (gethostbyname()) üzerinden çözer; bu durum, iki sorgunun aynı ana makine adı için farklı IP adresleri döndürmesine olanak tanır. Boş bir DNS sonucunun (DNS hatası, yalnızca IPv6 destekleyen alan adları veya mevcut olmayan ana makine adları nedeniyle), doğrulamanın daha fazla kontrol yapmadan ana makineye örtük olarak izin vermesine neden olduğu ikincil bir sorun mevcuttur. Varsayılan ek oluşturma erişimine sahip kimliği doğrulanmış bir saldırgan, iç IP kısıtlamalarını atlamak, dahili ağ portlarını taramak, dahili ana makinelerin varlığını onaylamak ve dahili HTTP tabanlı servislerle etkileşime girmek için bu boşluğu kullanabilir; ancak bu uç nokta üzerinden ikili protokol servislerinden veri çıkarma ve uzaktan kod çalıştırma mümkün değildir. Bu sorun 9.3.4 sürümünde düzeltilmiştir.