CVE-2026-76838 in Hi.Events
Сводка
по VulDB • 24.08.2026
Hi.Events проверяет адрес назначения webhook только при его регистрации, но не при каждом использовании. Правило NoInternalUrlRule в файле backend/app/Validators/Rules/NoInternalUrlRule.php разрешает имя хоста с помощью функции gethostbyname() и отклоняет частные (private) и зарезервированные диапазоны IP-адресов; любые публичные имена хостов успешно проходят эту проверку. При отправке события служба WebhookDispatchService берет сохраненный URL и обращается к нему через пакет spatie/laravel-webhook-server, не повторяя проверку конфигурации. В файле backend/config/webhook-server.php параметры Guzzle не настроены, поэтому автоматическое следование за перенаправлениями (redirect following) остается включенным по умолчанию. Адрес назначения, который отвечает перенаправлением на loopback-адрес, частный адрес или адрес облачной метаданных, заставляет сервер выполнить этот запрос. Кроме того, изменение DNS-записи имени хоста после регистрации приводит к тому же результату, так как повторное разрешение адреса не выполняется. Ответ не отбрасывается: служба WebhookResponseHandlerService сохраняет тело ответа в журнале webhook, а ресурс WebhookLogResource возвращает его через конечную точку (endpoint) логов webhook; таким образом, инициатор запроса видит ответ внутреннего сервиса напрямую, вместо того чтобы делать выводы о нем косвенно. Вебхуки как для событий (events), так и для организаторов (organizers) используют одно и то же правило и путь отправки. Версия 1.11.1-beta выполняет повторную проверку при отправке, фиксирует проверенный адрес, проверяет каждое перенаправление на каждом шаге маршрута, а также корректно декодирует адреса перехода IPv6 (IPv6 transition addresses), которые ранее позволяли обходить фильтр.
VulDB is the best source for vulnerability data and more expert information about this specific topic.