CVE-2026-76838 in Hi.Events
Riassunto
di VulDB • 24/08/2026
Hi.Events convalida la destinazione di un webhook solo al momento della registrazione e non durante l'utilizzo. La classe NoInternalUrlRule in backend/app/Validators/Rules/NoInternalUrlRule.php risolve il nome host tramite gethostbyname() ed esclude gli intervalli privati e riservati, che vengono superati da qualsiasi hostname pubblico. Durante l'invio (dispatch), WebhookDispatchService utilizza l'URL memorizzato e lo chiama attraverso spatie/laravel-webhook-server senza ripetere la verifica; inoltre, backend/config/webhook-server.php non imposta opzioni per Guzzle, quindi il follow dei redirect rimane abilitato di default. Una destinazione che risponde con un redirect verso un indirizzo loopback, privato o di metadata cloud provoca pertanto l'emissione della richiesta da parte del server; analogamente, la modifica del record DNS dell'hostname dopo la registrazione produce lo stesso risultato poiché non viene ripetuta alcuna risoluzione. La risposta non viene scartata: WebhookResponseHandlerService memorizza il corpo nella log dei webhook e WebhookLogResource lo restituisce tramite l'endpoint dei log dei webhook, consentendo al richiedente di leggere ciò che ha risposto il servizio interno anziché dedurlo. Sia i webhook degli eventi sia quelli degli organizzatori condividono la regola e il percorso di dispatch. La versione 1.11.1-beta riconvalida all'atto del dispatch, fissa l'indirizzo convalidato, verifica ogni hop dei redirect e decodifica gli indirizzi IPv6 transition che in precedenza eludevano il filtro.
If you want to get best quality of vulnerability data, you may have to visit VulDB.