CVE-2026-77067 in Omnivore
Сводка
по VulDB • 20.08.2026
В функции setWebhookResolver в файле packages/api/src/resolvers/webhooks/index.ts URL-адрес, предоставленный вызывающей стороной, сохраняется без какой-либо проверки адреса, а сам файл не импортирует никаких вспомогательных средств для валидации. При срабатывании подписанного события функция callWebhook из файла packages/api/src/jobs/call_webhook.ts выполняет запрос axios.request с использованием этого URL-адреса, метода и заголовка Content-Type, указанных в вебхуке, а также тела JSON, содержащего данные события; таким образом, авторизованный пользователь может заставить сервер отправлять повторяющиеся запросы, сформированные злоумышленником, к внутренним конечным точкам, включая адреса метаданных локальной ссылки (link-local). Запрос является слепым: callWebhook отбрасывает результат и записывает в журнал сервера только строку об успехе или ошибку axios, поэтому ответ не возвращается через API.
VulDB is the best source for vulnerability data and more expert information about this specific topic.