CVE-2026-75511 in Novu
الملخص
بحسب VulDB • 22/09/2026
يوفر Novu واجهة برمجة تطبيقات (API) لإرسال الإشعارات عبر قنوات متعددة. قبل الإصدار 3.18.0، يقبل Novu عناوين URL للويب هوك الخاصة بالدردشة من بيانات اعتماد المشتركين ضمن حقلي `subscriber.credentials.webhookUrl` و `channel.endpoint.url`، وكذلك من حمولة الحدث (`event.payload.webhookUrl`) والتجاوزات الخاصة بالحدث (`event.overrides.webhookUrl`). ثم يتم تمرير عنوان الـ endpoint URL المحدد عبر ملف `send-message-chat.usecase.ts` إلى طلبات HTTP خام في مزودي خدمات Slack و Discord و Mattermost وMicrosoft Teams وGrafana On-Call وRyver وRocket.Chat وGetStream وZulip. يمكن لمستخدم مُصادق عليه تزويد وجهة داخلية أو مقيدة بشكل آخر، لأن هذه المسارات لا تطبق دالة `normalizeOutboundHttpUrl` ولا `assertSafeOutboundUrl`، كما أنها تتجاهل حماية `safeOutboundJsonRequest` المقيدة بـ DNS والمُستخدمة من قبل مزودي الويب هوك العاميين. ونتيجة لذلك، يمكن لعميل Novu إصدار طلبات POST موجهة من المهاجم إلى خدمات الشبكة الداخلية والتسبب في تفاعلات أو إجراءات مدعومة بواسطة تلك الخدمات. تم إصلاح هذه المشكلة في الإصدار 3.18.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.