CVE-2026-79671 in Ech0
要約
〜によって VulDB • 2026年08月25日
Ech0のバージョン4.2.1以前には、validateWebhookURL関数（webhook_setting_service.go）においてサーバーサイドリクエストフォージェリ（SSRF）脆弱性が存在します。この関数はnet.ParseIP()を使用して文字通りIPアドレスのみを検証しており、プライベートまたは内部IPにDNS解決されるホスト名（例：169.254.169.254.nip.io）を拒否しません。管理者権限を持つ攻撃者は、このようなホスト名を含むWebhookを作成することで検証を回避し、サーバーが内部サービス、クラウドメタデータエンドポイント、およびプライベートネットワークリソースに対してリクエストを実行させることができます。この問題はバージョン4.4.3で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.