CVE-2026-72846 in Lightdash
Zusammenfassung
von VulDB • 21.08.2026
Lightdash speichert die bei einer geplanten Zustellung angegebene Webhook-URL und ruft diese später über `sendWebhook` in den Dateien `packages/backend/src/clients/GoogleChat/GoogleChatClient.ts` sowie `packages/backend/src/clients/MicrosoftTeams/MicrosoftTeamsClient.ts` auf. In betroffenen Versionen wird für beide Aufrufe die gespeicherte URL direkt mit `fetch` abgerufen. Die Hilfsfunktion `validatePublicHttpUrl` in `packages/backend/src/utils/ssrfProtection.ts`, die für MCP-Server-URLs verwendet wird, kommt bei keinem der beiden Pfade zum Tragen, und die Webhook-Felder unterliegen keinen serverseitigen URL-Einschränkungen. Ein Benutzer, der eine geplante Zustellung erstellen oder auslösen kann, ist daher in der Lage, den Server dazu zu bringen, POST-Anfragen an private, Loopback- und Link-Lokal-Adressen abzusetzen, einschließlich Cloud-Metadata-Endpunkten, und kann durch die daraus resultierenden Fehler zwischen erreichbaren und nicht erreichbaren internen Diensten unterscheiden. Die Antwort des Upstreams wird niemals an den Anfordernden zurückgegeben; bei einem Fehlstatuscode wird der Antwortkörper stattdessen in das Serverprotokoll geschrieben. In Version 1.146.4 werden beide Clients über `postSchedulerWebhook` aus `packages/backend/src/utils/schedulerWebhookValidation` geleitet, anstatt `fetch` direkt aufzurufen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.