CVE-2026-52840
Açıklama
Easy!Appointments, kendi sunucunuzda barındırılan bir randevu planlayıcıdır. 1.6.0 öncesindeki sürümlerde, `application/controllers/Caldav.php:60` konumundaki `Caldav::connect_to_server`, isteğin `caldav_url` parametresini şema veya ana bilgisayar doğrulaması yapmadan bir Guzzle `REPORT` çağrısına iletir. Giriş yapmış bir arka uç kullanıcısı (yönetici, sağlayıcı veya sekreter), dağıtımın ağındaki loopback, RFC1918 ve link-local ana bilgisayarlara erişebilir. Guzzle istisna yolu, üst akış durum kodunu ve yanıt gövdesinin yaklaşık 120 baytını JSON `message` alanında (`Caldav.php:74-78`) döndürdüğünden, bu SSRF yarı kördür. Sürüm 1.6.0 bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| alextselegidis/easyappointmentsPackagist | v ≤ 1.5.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.