CVE-2026-76838 in Hi.Events
Zusammenfassung
von VulDB • 24.08.2026
Hi.Events validiert ein Webhook-Ziel nur bei der Registrierung und niemals bei dessen Verwendung. NoInternalUrlRule in backend/app/Validators/Rules/NoInternalUrlRule.php löst den Hostnamen mit gethostbyname() auf und lehnt private sowie reservierte Adressbereiche ab, was jeder öffentliche Hostname erfüllt. Beim Auslösen (Dispatch) nimmt WebhookDispatchService die gespeicherte URL und ruft diese über spatie/laravel-webhook-server auf, ohne die Prüfung zu wiederholen; backend/config/webhook-server.php legt keine Guzzle-Optionen fest, sodass das automatische Weiterleiten von Redirects standardmäßig aktiviert bleibt. Ein Ziel, das mit einer Umleitung (Redirect) auf eine Loopback-, private oder Cloud-Metadata-Adresse antwortet, veranlasst den Server daher, diese Anfrage auszuführen; zudem führt die Änderung des DNS-Eintrags eines Hostnamens nach der Registrierung zum gleichen Ergebnis, da keine erneute Auflösung erfolgt. Die Antwort wird nicht verworfen: WebhookResponseHandlerService speichert den Antwortkörper im Webhook-Log, und WebhookLogResource gibt ihn über den Endpunkt für Webhook-Logs zurück, sodass der Anfordernde liest, was der interne Dienst antwortete, anstatt dies zu vermuten. Sowohl Event-Webhooks als auch Organizer-Webhooks teilen sich die Regel und den Auslösepfad (Dispatch Path). Version 1.11.1-beta validiert erneut beim Dispatch, sperrt die gültig adressierte Adresse fest, prüft jeden Redirect-Hop und decodiert IPv6-Transitionadressen, die zuvor den Filter umgangen haben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.