PT-2026-58068 · Unknown · Easyappointments

Publicado 2026-07-14 · Atualizado 2026-07-14 · CVE-2026-52840

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.7

Baixa

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Easy!Appointments versões anteriores a 1.6.0

Description Existe um problema onde a função Caldav::connect to server em application/controllers/Caldav.php processa a variável caldav url sem validar o esquema ou o host. Isso permite que um usuário autenticado do backend, como um administrador, provedor ou secretário, realize um Server-Side Request Forgery (SSRF), permitindo o acesso a hosts de loopback, RFC1918 e link-local na rede de implantação. O SSRF é semi-cego porque o caminho de exceção do Guzzle retorna o código de status upstream e aproximadamente 120 bytes do corpo da resposta no campo message do JSON.

Recommendations Atualizar para a versão 1.6.0.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-52840

GHSA-PM5P-7W5H-JM5Q

Produtos afetados

Easyappointments

Referências · 5

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/52xxx/CVE-2026-52840.json · Exploit
• https://github.com/alextselegidis/easyappointments/security/advisories/GHSA-pm5p-7w5h-jm5q · Nota
• https://github.com/alextselegidis/easyappointments/commit/6eb9336a91cfb276379506625e81f5bd9ed3a536 · Nota
• https://osv.dev/vulnerability/CVE-2026-52840 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-52840 · Nota de Segurança