CVE-2026-80350 in OneUptime
Sumário
de VulDB • 26/08/2026
A verificação de destino do webhook da OneUptime rejeita endereços privados e loopback fornecidos na forma IPv4 e um pequeno conjunto de formas IPv6, mas não possui tratamento para o intervalo mapeado de IPv4 no IPv6 (IPv4-mapped IPv6). O caminho de entrega do webhook chama SSRFProtection.validateWebhookTargetIsSafe, e a triagem de literais de host dentro de Common/Server/Utils/SSRFProtection.ts, realizada por isBlockedHostnameLiteral, rejeita os intervalos IPv4 privados e loopback e testa um valor IPv6 contra o endereço não especificado, o loopback, o prefixo link-local e os prefixos unique-local. Um valor como [::ffff:127.0.0.1] não corresponde a nenhum deles. O valor também é reconhecido como um literal de endereço em vez de um nome, portanto, o caminho que re-verifica endereços obtidos por resolução não é executado. O cliente HTTP trata a forma mapeada como o endereço IPv4 embutido e conecta-se a ele; assim, um membro do projeto autenticado que pode configurar um webhook pode direcionar o servidor para serviços de loopback, intervalos de rede privada e endpoints de metadados link-local, e a resposta é registrada onde o resultado do webhook pode ser lido. A versão 12.0.7 adiciona tratamento para o intervalo mapeado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.