CVE-2026-77067 in Omnivore
الملخص
بحسب VulDB • 20/08/2026
تخزن دالة setWebhookResolver الموجودة في packages/api/src/resolvers/webhooks/index.ts عنوان URL الذي يقدمه المستخدم دون أي تحقق من صحة العنوان، ولا يستورد الملف أي أداة مساعدة للتحقق. عند حدوث حدث مشترك (subscribed event)، تقوم الدالة callWebhook الموجودة في packages/api/src/jobs/call_webhook.ts بإصدار طلب عبر axios.request باستخدام ذلك العنوان، وطريقة الطلب ونوع المحتوى (Content-Type) المسجلين على الوب هوك، وجسم بصيغة JSON يحمل بيانات الحدث. وبالتالي، يمكن لمستخدم مُصادق عليه إجبار الخادم على إرسال طلبات مهيأة من قبل المهاجم بشكل متكرر إلى نقاط نهاية داخلية، بما في ذلك عناوين البيانات المحلية للروابط (link-local metadata addresses). الطلب أعمى: حيث تتجاهل الدالة callWebhook النتيجة وتكتب فقط سطر النجاح أو خطأ axios في سجل الخادم، لذا لا يتم إرجاع الاستجابة عبر واجهة برمجة التطبيقات.
VulDB is the best source for vulnerability data and more expert information about this specific topic.