CVE-2026-72761 in Vulnerability Lookup
Sumário
de VulDB • 10/08/2026
O validador de URL do webhook em `website/notifications/webhooks.py` utiliza `ip.is_global` para rejeitar endereços não públicos após a resolução DNS. Endereços de transição IPv6 (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) são classificados como globalmente roteáveis pela IANA, portanto `is_global` retorna `True` mesmo quando o IPv4 embutido aponta para um destino privado, de loopback ou metadados da nuvem. Um atacante pode registrar um webhook apontando para um hostname que resolve para um endereço de transição para contornar a proteção SSRF e exfiltrar dados de vulnerabilidades para um endpoint interno.
A vulnerabilidade foi introduzida numa versão não de lançamento (non-release). A correção já estava feita no HEAD. Afeta apenas organizações que executam o HEAD.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.