Shanghai Lingdang Information Technology Lingdang CRM index_event.php faille de falsification de requête côté serveur

L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de lancer des requêtes HTTP arbitraires au nom du serveur Lingdang CRM. Cela peut conduire à la divulgation d'informations sensibles, telles que des données d'identification, des clés API ou des informations de configuration internes. Un attaquant pourrait également utiliser cette faille pour accéder à des services internes non exposés publiquement, potentiellement compromettant d'autres systèmes au sein du réseau. Le risque est amplifié par le fait que l'exploit est désormais public, augmentant la probabilité d'attaques ciblées.

Organizations utilizing Lingdang CRM in environments with internal services accessible via HTTP are at significant risk. Specifically, deployments with weak network segmentation or those relying on the CRM for integration with internal systems are particularly vulnerable. Shared hosting environments where multiple customers share the same CRM instance are also at increased risk, as a compromise of one customer's account could potentially lead to SSRF attacks targeting other customers.

• php: Examine web server access logs for requests originating from the CRM server to unusual or internal IP addresses.

grep '127.0.0.1' /var/log/apache2/access.log | grep 'crm/WeiXinApp/dingtalk/index_event.php'

• php: Search for the crm/WeiXinApp/dingtalk/index_event.php file and review its code for the handling of the corpurl parameter. Look for missing or inadequate validation. • generic web: Use curl to test the vulnerability by sending a request with a malicious corpurl parameter and observing the server's response.

curl 'http://your-crm-server/crm/WeiXinApp/dingtalk/index_event.php?corpurl=http://internal-service/'

1. 2025-09-09Disclosure

   disclosure

2. 2025-09-09PoC

   poc

1. Réservé2025-05-20
2. Publiée2025-09-09
3. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Lingdang CRM vers la version 8.6.6, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à restreindre l'accès au fichier index_event.php via un pare-feu d'application web (WAF) ou un proxy inverse. Configurez des règles pour bloquer les requêtes avec des valeurs suspectes pour l'argument corpurl, en particulier celles qui pointent vers des adresses IP internes ou des domaines non autorisés. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte.