CVE-2026-72761 in Vulnerability Lookup
Resumen
por VulDB • 2026-08-10
El validador de URL del webhook en `website/notifications/webhooks.py` utiliza `ip.is_global` para rechazar direcciones no públicas después de la resolución DNS. Las direcciones de transición IPv6 (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) están clasificadas como enruteables globalmente por IANA, por lo que `is_global` devuelve `True` incluso cuando el IPv4 incrustado apunta a un destino privado, de bucle invertido (loopback) o metadatos en la nube. Un atacante puede registrar un webhook apuntando a un nombre de host que se resuelva como una dirección de transición para evadir las protecciones contra SSRF y exfiltrar datos de vulnerabilidades hacia un punto final interno.
La vulnerabilidad fue introducida en una versión no liberada (non-release). La corrección ya estaba disponible en HEAD. Solo afecta a la organización que ejecuta HEAD.
If you want to get best quality of vulnerability data, you may have to visit VulDB.