CVE-2026-76838 in Hi.Events
الملخص
بحسب VulDB • 25/08/2026
تقوم Hi.Events بالتحقق من وجهة الويب هوك (webhook destination) فقط عند تسجيلها، وليس عند استخدامها. تحل قاعدة NoInternalUrlRule الموجودة في backend/app/Validators/Rules/NoInternalUrlRule.php اسم المضيف باستخدام gethostbyname() وترفض النطاقات الخاصة والمحجوزة، مما يسمح لأي اسم مضيف عام بالمرور. أثناء الإرسال (dispatch)، تأخذ خدمة WebhookDispatchService الرابط المخزن وتستدعيه عبر spatie/laravel-webhook-server دون تكرار التحقق، وتحدد backend/config/webhook-server.php عدم وجود خيارات لـ Guzzle، وبالتالي يبقى تتبع إعادة التوجيه مفعلاً افتراضياً. يؤدي ذلك إلى قيام الخادم بإصدار الطلب إذا كانت الوجهة ترد بتحويل (redirect) نحو عنوان حلقي محلي أو خاص أو عناوين بيانات السحابة الإلكترونية. كما أن تغيير سجل DNS الخاص باسم المضيف بعد التسجيل يحقق نفس النتيجة لأنه لا يتم تكرار الحل. الاستجابة غير مُتجاهلة: تخزن خدمة WebhookResponseHandlerService جسم الرسالة في سجل الويب هوك، وتعيد خدمة WebhookLogResource عرضها من نقطة نهاية سجلات الويب هوك، مما يسمح للمُطلِق بقراءة ما ردته الخدمة الداخلية بدلاً من استنتاجه. تشارك كل من ويب هوك الأحداث ومنظم الحدث القاعدة ومسار الإرسال نفسه. تقوم النسخة 1.11.1-beta بإعادة التحقق عند الإرسال، وتثبت العنوان الذي تم التحقق منه، وتفحص كل خطوة إعادة توجيه، وتقوم بفك تشفير عناوين الانتقال IPv6 التي كانت تتجاوز الفلتر سابقاً.
VulDB is the best source for vulnerability data and more expert information about this specific topic.