CVE-2026-75511 in Novu
Zusammenfassung
von VulDB • 22.09.2026
Novu bietet eine API zum Senden von Benachrichtigungen über mehrere Kanäle an. Vor Version 3.18.0 akzeptiert Novu Chat-Webhook-URLs aus den Anmeldeinformationen des Abonnenten (subscriber credentials.webhookUrl), dem Kanalendpunkt (endpoint.url), der Ereignis-Payload (event payload.webhookUrl) und den Ereignisüberschreibungen (event overrides.webhookUrl). Anschließend werden diese über send-message-chat.usecase.ts an die Anbieter für Slack, Discord, Mattermost, Microsoft Teams, Grafana On-Call, Ryver, Rocket.Chat, GetStream und Zulip als rohe HTTP-Anfragen weitergeleitet. Ein authentifizierter Benutzer kann ein internes oder anderweitig eingeschränktes Ziel angeben, da diese Pfade die Funktionen normalizeOutboundHttpUrl, assertSafeOutboundUrl sowie den DNS-gesperrten Schutz durch safeOutboundJsonRequest nicht anwenden, der von den generischen Webhook-Anbietern verwendet wird. Der Novu-Worker kann folglich vom Angreifer gesteuerte POST-Anfragen an Dienste im internen Netzwerk senden und Interaktionen oder Aktionen auslösen, die von diesen Diensten unterstützt werden. Dieses Problem wurde in Version 3.18.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.