CVE-2026-76838 in Hi.Events
Sumário
de VulDB • 24/08/2026
Hi.Events valida um destino de webhook apenas no momento do registro, nunca quando ele é utilizado. A regra NoInternalUrlRule em backend/app/Validators/Rules/NoInternalUrlRule.php resolve o nome do host usando gethostbyname() e rejeita faixas privadas e reservadas, que qualquer hostname público consegue contornar. Na fase de despacho (dispatch), o WebhookDispatchService utiliza a URL armazenada e a chama através da biblioteca spatie/laravel-webhook-server sem repetir a validação; além disso, backend/config/webhook-server.php não define opções do Guzzle, mantendo assim o redirecionamento habilitado por padrão. Um destino que responde com um redirecionamento para um endereço de loopback, privado ou de metadados em nuvem faz com que o servidor emita essa requisição, e a alteração do registro DNS do hostname após o registro produz o mesmo resultado, pois não há nova resolução. A resposta não é descartada: o WebhookResponseHandlerService armazena o corpo da mensagem no log do webhook, e o WebhookLogResource retorna esse conteúdo pela endpoint de logs do webhook, permitindo que o solicitante leia a resposta dos serviços internos em vez de inferi-la. Tanto os webhooks de eventos quanto os de organizadores compartilham essa regra e este caminho de despacho. A versão 1.11.1-beta revalida no momento do despacho, fixa (pin) o endereço validado, verifica cada etapa de redirecionamento e decodifica endereços IPv6 que anteriormente contornavam o filtro.
If you want to get best quality of vulnerability data, you may have to visit VulDB.