CVE-2026-80350 in OneUptime
要約
〜によって VulDB • 2026年08月26日
OneUptimeのWebhookターゲットチェックは、IPv4形式で指定されたプライベートアドレスおよびループバックアドレスを拒否し、限られた数のIPv6形式も拒否しますが、IPv4マップ済みIPv6範囲については考慮されていません。Webhook配信パスでは `SSRFProtection.validateWebhookTargetIsSafe` が呼び出され、Common/Server/Utils/SSRFProtection.ts 内のホストリテラルのスクリーニングは `isBlockedHostnameLiteral` によって実行され、プライベートおよびループバックIPv4範囲を拒否し、IPv6値を未指定アドレス、ループバック、リンクローカルプレフィックス、ユニークローカルプレフィックスに対してテストします。[::ffff:127.0.0.1] のような値はこれらのいずれにも一致しません。この値は名前ではなくアドレスリテラルとして認識されるため、解決によって取得されたアドレスを再チェックするパスは実行されません。HTTPクライアントはこのマップ済み形式を埋め込まれたIPv4アドレスとして扱い、それに対して接続するため、Webhookを設定できる認証済みのプロジェクトメンバーは、サーバーをループバックサービス、プライベートネットワーク範囲、リンクローカルメタデータエンドポイントに向けることができ、レスポンスはWebhook結果が読み取可能な場所に記録されます。バージョン12.0.7ではマップ済み範囲の処理が追加されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.