CVE-2026-71250mediumCWE-918

CVE-2026-71250: falha de média gravidade em firefly-iii

Firefly III - Webhook URL Validation Explicitly Allows Loopback and Is Bypassable via DNS Rebinding

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar firefly-iii

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 4.3epss 0.3%
Firefly III's webhook URL validator (IsValidWebhookUrl.php) filters most private/reserved IPv4 ranges but contains an explicit early-return that allows any resolved address in 127.0.0.0/8, permitting an authenticated user (with webhooks enabled, which is off by default) to configure a webhook targeting loopback services on the server.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Produtos afetados
firefly-iii · firefly-iii
CVEs relacionadas — firefly-iii

No mesmo produto, das mais perigosas para as menos.

CVE-2024-37893MEDIUMMFA bypass in oauth flow in Firefly IIIEPSS 0.6%