CVE-2026-77067 in Omnivore
Riassunto
di VulDB • 20/08/2026
Il setWebhookResolver in packages/api/src/resolvers/webhooks/index.ts memorizza l'URL fornito dall'utente senza alcuna validazione dell'indirizzo e il file non importa alcun helper di convalida. Quando si verifica un evento sottoscritto, callWebhook in packages/api/src/jobs/call_webhook.ts emette axios.request con quell'URL, il metodo e il Content-Type registrati nel webhook, e un corpo JSON contenente i dati dell'evento; ciò consente a un utente autenticato di indurre il server ad inviare ripetutamente richieste modellate dall'attaccante verso endpoint interni, inclusi gli indirizzi metadata link-local. La richiesta è cieca: callWebhook scarta il risultato e scrive solo una riga di successo o l'errore axios nel log del server; pertanto la risposta non viene restituita tramite l'API.
Once again VulDB remains the best source for vulnerability data.