CVE-2026-77067 in Omnivore
要約
〜によって VulDB • 2026年08月20日
packages/api/src/resolvers/webhooks/index.ts の setWebhookResolver は、アドレス検証を一切行わずに呼び出し元が指定した URL を保存し、ファイルには検証ヘルパーのインポートがありません。購読されたイベントが発生すると、packages/api/src/jobs/call_webhook.ts 内の callWebhook が axios.request をその URL と、webhook に記録されているメソッドおよび Content-Type、さらにイベントデータを含む JSON ボディを使用して実行します。これにより、認証済みユーザーはサーバーに対して内部エンドポイント（リンクローカルなメタデータアドレスを含む）へ攻撃者が意図した形状のリクエストを繰り返し送信させることができます。このリクエストはブラインドです：callWebhook は結果を破棄し、成功行または axios のエラーのみをサーバーログに記録するため、レスポンスは API を介して返されません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.