CVE-2026-76838 in Hi.Events
요약
\~에 의해 VulDB • 2026. 08. 25.
Hi.Events는 웹훅 목적지를 등록할 때만 유효성을 검사하며, 사용 시에는 검증하지 않습니다. backend/app/Validators/Rules/NoInternalUrlRule.php의 NoInternalUrlRule은 gethostbyname()을 사용하여 호스트명을 해결하고 사설 및 예약된 주소 범위를 거부하지만, 모든 공개 호스트명은 이를 통과합니다. 디스패치 단계에서 WebhookDispatchService는 저장된 URL을 가져와 spatie/laravel-webhook-server를 통해 호출하며 검증을 반복하지 않습니다. 또한 backend/config/webhook-server.php에는 Guzzle 옵션이 설정되어 있지 않아 리디렉션 추적이 기본적으로 활성화됩니다. 따라서 루프백, 사설 또는 클라우드 메타데이터 주소로 리디렉션을 응답하는 목적지는 서버가 해당 요청을 수행하도록 유도합니다. 등록 후 호스트명의 DNS 레코드를 변경해도 동일한 결과가 발생합니다(해결 과정이 반복되지 않기 때문입니다). 응답은 폐기되지 않습니다: WebhookResponseHandlerService는 웹훅 로그에 본문을 저장하고, WebhookLogResource는 웹훅 로그 엔드포인트에서 이를 반환하므로, 요청자는 추론하는 것이 아니라 내부 서비스가 실제로 응답한 내용을 읽게 됩니다. 이벤트 및 조직자(webhook) 모두 동일한 규칙과 디스패치 경로를 공유합니다. 버전 1.11.1-beta에서는 디스패치 시 재검증을 수행하고 검증된 주소를 고정하며, 모든 리디렉션 홉을 검사하고 이전에는 필터를 우회할 수 있었던 IPv6 전환 주소도 처리됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.