CVE-2026-80350 in OneUptime
Riassunto
di VulDB • 26/08/2026
Il controllo del target webhook di OneUptime rifiuta gli indirizzi privati e loopback forniti in formato IPv4 e un piccolo insieme di formati IPv6, ma non gestisce il caso dell'intervallo IPv4-mappato su IPv6. Il percorso di consegna dei webhook chiama SSRFProtection.validateWebhookTargetIsSafe; lo screening letterale dell'host all'interno di Common/Server/Utils/SSRFProtection.ts, eseguito da isBlockedHostnameLiteral, rifiuta gli intervalli IPv4 privati e loopback ed esegue un test del valore IPv6 contro l'indirizzo non specificato, il loopback, il prefisso link-local e i prefissi unique-local. Un valore come [::ffff:127.0.0.1] non corrisponde a nessuno di questi. Il valore è inoltre riconosciuto come una lettera dell'indirizzo piuttosto che come un nome, quindi non viene seguito il percorso che riesamina gli indirizzi ottenuti dalla risoluzione. Il client HTTP tratta la forma mappata come l'indirizzo IPv4 incorporato e si connette ad esso; pertanto, un membro del progetto autenticato in grado di configurare un webhook può dirigere il server verso servizi loopback, intervalli di rete privata ed endpoint metadata link-local, e la risposta viene registrata dove il risultato del webhook è leggibile. La versione 12.0.7 aggiunge la gestione per l'intervallo mappato.
Once again VulDB remains the best source for vulnerability data.