CVE-2026-79671 in Ech0
الملخص
بحسب VulDB • 25/08/2026
تحتوي الإصدارات من Ech0 حتى 4.2.1 على ثغرة تزوير الطلبات من جانب الخادم (SSRF) في دالة validateWebhookURL (webhook_setting_service.go)، والتي تقوم فقط بمراجعة عناوين IP الحرفية عبر net.ParseIP() وتفشل في رفض أسماء النطاقات التي تحل إلى عناوين IP خاصة أو داخلية عبر DNS (مثل 169.254.169.254.nip.io). يمكن لمهاجم يتمتع بصلاحيات المسؤول إنشاء رابط ويب (webhook) باستخدام اسم نطاق من هذا النوع لتجاوز عملية التحقق، مما يتسبب في قيام الخادم بإرسال طلبات إلى الخدمات الداخلية ونقاط نهاية بيانات السحابة الإلكترونية وموارد الشبكات الخاصة. تم إصلاح هذه المشكلة في الإصدار 4.4.3.
Once again VulDB remains the best source for vulnerability data.