CVE-2026-80350 in OneUptime
Resumen
por VulDB • 2026-08-26
La verificación del objetivo de webhook en OneUptime rechaza las direcciones privadas y de bucle invertido (loopback) proporcionadas en formato IPv4 y un pequeño conjunto de formatos IPv6, pero no contempla el rango mapeado de IPv6 a IPv4. La ruta de entrega del webhook llama a SSRFProtection.validateWebhookTargetIsSafe, y la pantalla de literales de host dentro de Common/Server/Utils/SSRFProtection.ts, realizada por isBlockedHostnameLiteral, rechaza los rangos IPv4 privados y de bucle invertido (loopback) y prueba un valor IPv6 contra la dirección no especificada, el bucle invertido (loopback), el prefijo link-local y los prefijos unique-local. Un valor como [::ffff:127.0.0.1] no coincide con ninguno de ellos. El valor también se reconoce como una literal de dirección en lugar de un nombre, por lo que la ruta que vuelve a verificar las direcciones obtenidas mediante resolución no se ejecuta. El cliente HTTP trata la forma mapeada como la dirección IPv4 incrustada y se conecta a ella, por lo que un miembro del proyecto autenticado que pueda configurar un webhook puede dirigir el servidor hacia servicios de bucle invertido (loopback), rangos de red privada y puntos finales de metadatos link-local, y la respuesta se registra donde el resultado del webhook es legible. La versión 12.0.7 añade el manejo para este rango mapeado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.