CVE-2026-76838 in Hi.Events
Resumen
por VulDB • 2026-08-24
Hi.Events valida un destino de webhook únicamente cuando se registra, nunca cuando se utiliza. La regla NoInternalUrlRule en backend/app/Validators/Rules/NoInternalUrlRule.php resuelve el nombre de host mediante gethostbyname() y rechaza las rangos privados y reservados, lo que permite que cualquier nombre de host público la supere. En el momento del envío (dispatch), WebhookDispatchService toma la URL almacenada y la llama a través de spatie/laravel-webhook-server sin repetir la validación, y backend/config/webhook-server.php no establece opciones de Guzzle, por lo que el seguimiento de redirecciones permanece habilitado por defecto. Por tanto, un destino que responde con una redirección hacia una dirección loopback, privada o de metadatos en la nube provoca que el servidor emita dicha solicitud; además, cambiar el registro DNS del nombre de host después del registro produce el mismo resultado porque no se repite la resolución. La respuesta no se descarta: WebhookResponseHandlerService almacena el cuerpo en el registro del webhook y WebhookLogResource lo devuelve desde el endpoint de registros de webhooks, por lo que el solicitante lee directamente lo que respondió el servicio interno en lugar de inferirlo. Tanto los webhooks de eventos como los de organizadores comparten la regla y la ruta de envío (dispatch). La versión 1.11.1-beta vuelve a validar al momento del envío, fija la dirección validada, verifica cada salto de redirección y decodifica las direcciones de transición IPv6 que anteriormente eludían el filtro.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.