CVE-2026-41177

중간게시됨

Squidex의 Restore API에서 file:// 프로토콜을 통한 Blind SSRF로 로컬 파일 상호작용 발생

게시됨: 2026. 4. 22.
업데이트됨: 2026. 4. 23.
CNA 할당 중: GitHub_M
증거 관찰됨: 2026. 8. 25.

기본 CVSS

5.5/ 10중간

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:L

EPSS 확률 추정

0.3%

낮음 · 다음 30일

백분위수: 26.2%
모델 날짜: 2026. 9. 21.

EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.

요약

Squidex는 오픈 소스 헤드리스 콘텐츠 관리 시스템이자 콘텐츠 관리 허브입니다. 버전 7.23.0 이전의 Squidex Restore API는 블라인드 서버 측 요청 위조(SSRF)에 취약합니다. 이 애플리케이션은 사용자가 제공한 `Url` 매개변수의 URI 스킴을 검증하지 않아 `file://` 프로토콜 사용을 허용합니다. 이로 인해 인증된 관리자가 백엔드 서버가 로컬 파일 시스템과 상호 작용하도록 강제할 수 있으며, 이는 로컬 파일 상호 작용(LFI) 및 내부 로그의 부수 채널 분석을 통한 민감한 시스템 정보의 잠재적 노출로 이어질 수 있습니다. 버전 7.23.0에는 수정 사항이 포함되어 있습니다.

소스

CVE-2026-41177-Squidex-CMSPoC
CVE-2026-41177, Squidex CMS(v7.23.0 이전 버전)의 블라인드 SSRF 취약점입니다. 근본 원인 분석, 재현 단계, 로컬 파일 상호작용(LFI)과 관련된 영향 평가를 포함합니다.

책임 있는 사용

귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.