CVE-2026-61529

Endatix to hostowana samodzielnie platforma do zarządzania formularzami i ankietami z bezgłowym interfejsem API. W wersjach wcześniejszych niż 0.7.0 anonimowy punkt końcowy `POST /forms/{formId}/submissions` przechowuje kontrolowane przez osobę atakującą `JsonData` po sprawdzeniu jedynie, czy kod JSON jest prawidłowo utworzony. Obiekt pliku z polami „nazwa”, „typ” i „treść” może zawierać adres URL HTTP lub HTTPS. Kiedy pracownik z uprawnieniami `submissions.view` wywołuje `POST /forms/{formId}/submissions/{submissionId}/files`, `GetFilesHandler` przekazuje zapisane dane do `SubmissionFileExtractor` w `src/Endatix.Infrastructure/Features/Submissions/SubmissionFileExtractor.cs`, który wywołuje `HttpClient.GetAsync` bez sprawdzania docelowego adresu URL, hosta lub rozpoznanych adresów IP względem wewnętrznych zakresów adresów. Umożliwia to przechowywanie żądań GET drugiego rzędu po stronie serwera do usług wewnętrznych, metadanych w chmurze, pętli zwrotnej i adresów lokalnych łączy z pozycji sieciowej serwera. Formularz musi mieć ustawione opcje „IsPublic” i „IsEnabled”, a anonimowe zgłoszenie musi po skonfigurowaniu przejść reCAPTCHA v3. Pobrana odpowiedź jest umieszczana w pliku ZIP osoby przeglądającej i nie jest zwracana bezpośrednio do atakującego, więc ujawnienie atakującemu jest ślepe lub pośrednie poprzez obserwowalne zachowanie żądania lub informacje ujawnione przez osobę przeglądającą. Nie stwierdza się żadnego wpływu na integralność ani dostępność; dane: i „zawartość” raw-base64 są dekodowane lokalnie, bez żądań sieciowych. Ten problem został rozwiązany w wersji 0.7.0.