Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-57232 low CVSS 3.1

SSRF (Falsification de requête côté serveur) dans contao/contao (CVE-2026-57232)

Résumé

SSRF dans contao/contao (CVE-2026-57232). Risque d'opérations non autorisées ou de divulgation. Exploitable via rss_feed. Atténuation : mise à jour vers 5.7.9 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

The Feed Reader front-end module passes RSS feed URLs from its configuration directly to $this->feedIo->read($url) without any scheme validation or private-IP blocklist. A backend user with module-edit permissions can configure an arbitrary URL pointing to internal network services, cloud-provider metadata endpoints, or loopback addresses, causing the server to fetch those resources unconditionally. Confirmed live: the server successfully reaches the internal MySQL database container and its own loopback Apache instance.

Details

In core-bundle/src/Controller/FrontendModule/FeedReaderController.php, the getResponse() function iterates over the configured feed URLs and passes each one directly to the HTTP client with no validation:

// Line 50-55
foreach (StringUtil::trimsplit('[\n\t ]', trim($model->rss_feed)) as $url) {
    try {
        $feed = $this->cache->get(
            'feed_reader_'.$model->id.'_'.md5($url),
            function (ItemInterface $item) use ($url, $model) {
                $readerResult = $this->feedIo->read($url, new Feed()); // <-- no validation

The DCA field definition for rss_feed in tl_module.php carries no URL scheme or host validation:

'eval' => array('mandatory'=>true, 'decodeEntities'=>true, 'style'=>'height:60px')

The HTTP client is wired as @psr18.http_client (Symfony HttpClient) with no SSRF protection configured (NoPrivateNetworkHttpClient is not used).

Impact

This is a…

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-57232 a été découverte dans contao/contao.
Des attaquants peuvent cibler un point d'entrée spécifique comme rss_feed à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 3.1/10.
Action : mettez à jour contao/contao vers 5.7.9 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « contao/contao CVE-2026-57232 » sur le site de l'éditeur.

CVE-2026-57232 (contao/contao) — CWE-918 / CVSS v3 3.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : rss_feed / tl_module.php / NoPrivateNetworkHttpClient / tl_module.rss_feed
Correctif : 5.7.9 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une SSRF (CWE-918) affecte contao/contao. Les attaquants atteignent le code vulnérable via rss_feed.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de contao/contao. Surface d'attaque : rss_feed / tl_module.php / NoPrivateNetworkHttpClient / tl_module.rss_feed.

🔥 Gravité

Gravité : Faible (CVSS 3.1/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 5.7.9.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'contao/contao' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で contao/contao を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade contao/contao to 5.7.9

    ステージング環境で 5.7.9 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

composer contao/contao
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"5.7.9"}]}]
composer contao/core-bundle
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"5.7.9"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus