CVE-2026-76838 in Hi.Events
要約
〜によって VulDB • 2026年08月24日
Hi.Eventsは、Webhookの宛先を登録時には検証するが、使用時には一切検証しない。backend/app/Validators/Rules/NoInternalUrlRule.phpにある NoInternalUrlRule は gethostbyname() を用いてホスト名を解決し、プライベートおよび予約済みアドレス範囲を拒否するため、公開されている任意のホスト名はこれを通過してしまう。ディスパッチ時、WebhookDispatchService は保存された URL を取得し spatie/laravel-webhook-server 経由で呼び出すが、再検証は行わない。また backend/config/webhook-server.php では Guzzle のオプション設定が行われていないため、リダイレクトのフォロー（follow_redirects）はデフォルトで有効なままとなる。ループバックアドレス、プライベートアドレス、またはクラウドメタデータアドレスへのリダイレクト応答を返す宛先の場合、サーバーはその要求を発行することになる。さらに、登録後にホスト名の DNS レコードを変更しても同様の結果に至る（解決処理が繰り返されないため）。レスポンスは破棄されず、WebhookResponseHandlerService は本文を Webhook ログに保存し、WebhookLogResource が webhook logs エンドポイントからそれを返すため、要求元は内部サービスの応答内容を推測するのではなく実際に読み取ることになる。イベント用およびオーガナイザー用の両方の Webhook で、このルールとディスパッチパスが共有されている。バージョン 1.11.1-beta では、ディスパッチ時に再検証を行うようになり、検証済みのアドレスを固定し、リダイレクトの各ホップをチェックするほか、従来フィルタを回避できていた IPv6 トランジションアドレスもデコードされるようになった。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.