Squidex tiene un problema de Falsificación de Solicitud del Lado del Servidor (SSRF) en la Configuración de Webhooks

La vulnerabilidad de SSRF en Squidex permite a un atacante ejecutar solicitudes HTTP arbitrarias desde el servidor Squidex. Esto puede resultar en la exposición de información sensible, como credenciales almacenadas en memoria o datos de otros servicios internos. Un atacante podría, por ejemplo, escanear la red interna en busca de servicios vulnerables o acceder a recursos protegidos que no deberían ser accesibles desde el exterior. La falta de validación de la URL del webhook facilita la explotación, incluso para usuarios sin privilegios elevados dentro de la aplicación. El impacto potencial es significativo, ya que un atacante podría comprometer la confidencialidad, integridad y disponibilidad del sistema.

Organizations using Squidex as their headless CMS, particularly those with sensitive internal services accessible via localhost or internal networks, are at risk. Shared hosting environments where multiple Squidex instances share the same server are also particularly vulnerable, as a compromised instance could potentially be used to attack other instances or internal services.

• linux / server: Monitor Squidex logs for outbound HTTP requests to internal IP addresses (127.0.0.1, localhost). Use journalctl -u squidex to filter for relevant log entries.

journalctl -u squidex | grep -i "request to 127.0.0.1"

• generic web: Use curl to test webhook functionality and observe the target URL. Check Squidex configuration files for improperly validated webhook URLs.

curl -v <squidex_webhook_url>

• database (mysql, redis, mongodb, postgresql): If Squidex interacts with a database, monitor database logs for unusual access patterns or queries originating from the Squidex server.

1. 2026-01-27Disclosure

   disclosure

1. Reservado2026-01-26
2. Publicada2026-01-27
3. Modificada2026-01-28
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar Squidex a la versión 7.21.1 o superior, que incluye la corrección de la validación de URLs en los Webhooks. Si la actualización no es inmediatamente posible, se recomienda implementar reglas en un proxy inverso o firewall de aplicaciones web (WAF) para bloquear solicitudes HTTP a direcciones locales o a dominios no confiables. Además, se debe revisar y auditar la configuración de los Webhooks existentes para identificar y eliminar cualquier configuración potencialmente vulnerable. Después de la actualización, confirme que la validación de URLs en los Webhooks funciona correctamente mediante la creación de un webhook con una URL maliciosa y verificando que la solicitud sea bloqueada.