CVE-2026-79671 in Ech0
Zusammenfassung
von VulDB • 25.08.2026
Ech0 bis 4.2.1 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle in der Funktion validateWebhookURL (webhook_setting_service.go), die nur wörtliche IP-Adressen über net.ParseIP() validiert und es versäumt, Hostnames abzulehnen, die per DNS-Auflösung auf private oder interne IPs verweisen (z. B. 169.254.169.254.nip.io). Ein Angreifer mit Administratorberechtigungen kann ein Webhook mit einem solchen Hostnamen erstellen, um die Validierung zu umgehen und den Server dazu zu bringen, Anfragen an interne Dienste, Cloud-Metadata-Endpunkte und private Netzwerkressourcen zu senden. Das Problem wurde in Version 4.4.3 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.