p PatchFirst

CVE-2026-52840

CVE-2026-52840 · Easy!Appointments has server-side request forgery in CalDAV connection test that exposes the deployment's internal network

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Easy!Appointments is a self hosted appointment scheduler. In versions prior to 1.6.0, `Caldav::connect_to_server` at `application/controllers/Caldav.php:60` hands the request's `caldav_url` to a Guzzle `REPORT` call without scheme or host validation. A logged-in backend user (admin, provider, or secretary) reaches loopback, RFC1918, and link-local hosts on the deployment's network. The Guzzle exception path returns the upstream status code plus ~120 bytes of response body in the JSON `message` field (`Caldav.php:74-78`), so the SSRF is semi-blind. Version 1.6.0 contains a patch.

CVSS 2.7 · Baja · EPSS 0,2%

Publicación
Actualización

Pila tecnológica: php

Productos y versiones afectados

  • easyappointments

    Versiones
    • < 1.6.0: Afectada

    Sin corrección publicada

  • alextselegidis/easyappointments Packagist

    Versiones
    • 1.1.0
    • 1.1.0-beta.1
    • 1.1.0-beta.2
    • 1.1.1
    • 1.2.0
    • 1.2.0-alpha.1
    • 1.2.0-beta.1
    • 1.2.1
    • 1.3.0
    • 1.3.0-alpha.1
    • 1.3.0-beta.1
    • 1.3.0-beta.2
    • 1.3.1
    • 1.3.1-beta.1
    • 1.3.2
    • 1.3.2-beta.1
    • 1.4.0
    • 1.4.0-beta.1
    • 1.4.1
    • 1.4.2
    • 1.4.2-beta.1
    • 1.4.3
    • 1.4.3-beta.1
    • 1.5.2
    Intervalos de versiones afectados
    • ECOSYSTEM: ≤ 1.5.2

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →