Squidex w wersjach do 7.21.0 włącznie umożliwia atakującemu przeprowadzenie ataku SSRF (Server-Side Request Forgery) poprzez mechanizm Webhooków w silniku reguł. Szczególnie niebezpieczne jest to, że serwer rejestruje pełną treść odpowiedzi HTTP w logu wykonania reguły, zamieniając klasyczny 'blind' SSRF w 'full read' SSRF z możliwością odczytu danych z sieci wewnętrznej.
▸ Pokaż oryginał (EN)
Squidex is an open source headless content management system and content management hub. Versions of the application up to and including 7.21.0 allow users to define "Webhooks" as actions within the Rules engine. The url parameter in the webhook configuration does not appear to validate or restrict destination IP addresses. It accepts local addresses such as 127.0.0.1 or localhost. When a rule is triggered (Either manual trigger by manually calling the trigger endpoint or by a content update or any other triggers), the backend server executes an HTTP request to the user-supplied URL. Crucially, the server logs the full HTTP response in the rule execution log (lastDump field), which is accessible via the API. Which turns a "Blind" SSRF into a "Full Read" SSRF. As of time of publication, no patched versions are available.
Użytkownik z uprawnieniami do konfiguracji reguł może zdefiniować akcję Webhook, podając jako docelowy adres URL lokalne adresy sieciowe, takie jak 127.0.0.1 lub localhost. Parametr URL w konfiguracji Webhooka nie podlega walidacji ani ograniczeniu zakresu docelowych adresów IP. Po wyzwoleniu reguły — ręcznie przez endpoint triggerujący, przez aktualizację treści lub inne zdarzenie — serwer wykonuje żądanie HTTP do dostarczonego przez użytkownika adresu URL. Pełna treść odpowiedzi HTTP jest następnie zapisywana w logu wykonania reguły (pole lastDump) i dostępna za pośrednictwem API, co pozwala atakującemu na odczyt zawartości wewnętrznych zasobów.
Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych niedostępnych bezpośrednio z Internetu, w tym metadanych chmurowych, wewnętrznych usług HTTP oraz potencjalnie poufnych danych konfiguracyjnych. Połączenie SSRF z pełnym odczytem odpowiedzi znacząco zwiększa możliwości eskalacji ataku na infrastrukturę wewnętrzną.
Według informacji dostępnych w momencie publikacji podatności nie istnieje żadna wersja zawierająca poprawkę. Należy śledzić repozytorium producenta pod kątem wydania patcha i zastosować go niezwłocznie po udostępnieniu. Tymczasowo zaleca się ograniczenie dostępu do funkcji konfiguracji Webhooków wyłącznie do zaufanych administratorów oraz wdrożenie kontroli sieciowych (firewall, egress filtering) blokujących wychodzące żądania HTTP z serwera Squidex do adresów lokalnych i wewnętrznych zakresów IP.
Squidex (Squidex.Io) w wersjach do 7.21.0 włącznie
W momencie publikacji (2026-01-27) brak dostępnych wersji zawierających poprawkę. Podatność wymaga posiadania uprawnień do konfiguracji reguł w aplikacji (PR:H w wektorze CVSS), co ogranicza powierzchnię ataku do zalogowanych użytkowników z podwyższonymi uprawnieniami.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HSquidex.io Squidex
APPSquidex.Io≤ 7.21.0
Powiązane podatności
Squidex is an open source headless CMS and content management hub. Affected versions are subject to an arbitra...
Squidex before 7.9.0 allows XSS via an SVG document to the Upload Assets feature. This occurs because there is...
Squidex is an open source headless CMS and content management hub. Affected versions are missing origin verifi...
Squidex is an open source headless CMS and content management hub. In affected versions a stored Cross-Site Sc...
Improper Handling of Additional Special Element in GitHub repository squidex/squidex prior to 7.4.0.