CVE-2026-55190 SSRF en Event Schedule: isUrlSafe() evadible con literales IPv6 entre corchetes
App\Utils\UrlUtils::isUrlSafe() puede evadirse mediante literales IPv6 entre corchetes, ya que parse_url conserva los corchetes y la comprobación IPv6 nunca coincide, y por un fail-open del resolutor solo IPv4. Esto permite alcanzar servicios internos o localhost cuando ImportCuratorEvents obtiene la URL. Afecta a versiones 1.0.0 y anteriores; sin parches públicos al momento de la publicación.
CVSS 3.1
- Probabilidad de explotación0,4 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
eventschedule
<= 1.0.0
Qué hacer
- Verificá si usás eventschedule y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
Event Schedule is an open-source platform to share events, sell tickets and bring communities together. In versions 1.0.0 and prior, App\Utils\UrlUtils::isUrlSafe() is the SSRF guard applied to user-supplied import URLs. It can be bypassed two ways, both reaching internal/localhost services when the URL is later fetched by ImportCuratorEvents (Http::get($url) then the response body is parsed and imported as events, and file_get_contents($ogImage)). At time of publication, there are no publicly available patches.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.