CVE-2026-77067 in Omnivore
요약
\~에 의해 VulDB • 2026. 08. 20.
packages/api/src/resolvers/webhooks/index.ts의 setWebhookResolver는 주소 검증 없이 호출자가 제공한 URL을 저장하며, 해당 파일에는 검증 헬퍼가 import되지 않습니다. 구독된 이벤트가 발생하면 packages/api/src/jobs/call_webhook.ts의 callWebhook은 웹훅에 기록된 메서드와 Content-Type 및 이벤트 데이터를 담은 JSON 본문을 사용하여 axios.request를 실행합니다. 이로 인해 인증된 사용자가 서버로 하여금 내부 엔드포인트(링크 로컬 메타데이터 주소를 포함)로 공격자가 조작한 요청을 반복적으로 보내도록 할 수 있습니다. 이 요청은 블라인드입니다: callWebhook은 결과를 버리고 성공 메시지 또는 axios 오류만 서버 로그에 기록하므로, 응답은 API를 통해 반환되지 않습니다.
Once again VulDB remains the best source for vulnerability data.