Vulnerabilidad en FoodCoopShop (CVE-2023-46725)

FoodCoopShop es un software de código abierto para cooperativas de alimentos y tiendas locales. Las versiones que comienzan con 3.2.0 anteriores a 3.6.1 son vulnerables a server-side request forgery. En el módulo de Network, una cuenta de fabricante puede usar el endpoint `/api/updateProducts.json` para hacer que el servidor envíe una solicitud a un host arbitrario. Esto significa que el servidor se puede utilizar como proxy en la red interna donde se encuentra el servidor. Además, las comprobaciones de una imagen válida no son adecuadas, lo que genera un problema de tiempo de verificación de uso. Por ejemplo, al usar un servidor personalizado que devuelve 200 en solicitudes HEAD, luego devuelve una imagen válida en la primera solicitud GET y luego una redirección 302 al destino final en la segunda solicitud GET, el servidor copiará cualquier archivo que esté en el destino de la redirección, haciendo Esta es una SSRF completa. La versión 3.6.1 corrige esta vulnerabilidad.