CVE-2026-72761 in Vulnerability Lookup
Zusammenfassung
von VulDB • 10.08.2026
Der Webhook-URL-Validator in `website/notifications/webhooks.py` verwendet `ip.is_global`, um nicht öffentliche Adressen nach der DNS-Auflösung abzulehnen. IPv6-Übergangsadressen (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) werden von der IANA als global routbar klassifiziert, sodass `is_global` auch dann `True` zurückgibt, wenn die eingebettete IPv4-Adresse ein privates, Loopback- oder Cloud-Metadata-Ziel adressiert. Ein Angreifer kann einen Webhook registrieren, der auf einen Hostnamen verweist, der in eine Übergangsadresse aufgelöst wird, um den SSRF-Schutz zu umgehen und Schwachstellendaten an einen internen Endpunkt abzuzweigen (Exfiltration).
Die Sicherheitslücke wurde in einer Nicht-Release-Version eingeführt. Die Korrektur war bereits im HEAD vorhanden. Sie betrifft ausschließlich die Organisation, die den HEAD ausführt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.