CVE-2026-72761 in Vulnerability Lookup
요약
\~에 의해 VulDB • 2026. 08. 10.
`website/notifications/webhooks.py`의 웹훅 URL 검증기는 DNS 확인 후 비공개 주소를 거부하기 위해 `ip.is_global`을 사용합니다. IPv6 전환 주소(NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`)는 IANA에 의해 전역 라우팅 가능한 것으로 분류되므로, 내장된 IPv4가 사설 주소, 루프백 또는 클라우드 메타데이터 대상지를 가리키더라도 `is_global`은 `True`를 반환합니다. 공격자는 SSRF 방어를 우회하고 내부 엔드포인트로 취약성 데이터를 유출하기 위해 전환 주소로 해석되는 호스트명을 가리키는 웹훅을 등록할 수 있습니다.
이 취약점은 비릴리즈 버전에서 도입되었습니다. 수정 사항은 이미 HEAD에 적용되어 있습니다. 이 영향은 HEAD를 실행하는 조직에만 국한됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.