CVE-2026-77067 in Omnivore
Tóm tắt
Bởi VulDB • 20/08/2026
Hàm setWebhookResolver trong packages/api/src/resolvers/webhooks/index.ts lưu trữ url do người dùng cung cấp mà không thực hiện bất kỳ xác minh địa chỉ nào, và file này không nhập (import) bất kỳ công cụ hỗ trợ kiểm tra hợp lệ nào. Khi một sự kiện đã đăng ký kích hoạt, hàm callWebhook trong packages/api/src/jobs/call_webhook.ts sẽ gọi axios.request với url đó, phương thức và Content-Type được ghi lại trên webhook, cùng thân JSON chứa dữ liệu sự kiện; do đó, người dùng đã xác thực có thể khiến máy chủ gửi các yêu cầu định dạng bởi kẻ tấn công lặp đi lặp đến các điểm cuối nội bộ, bao gồm cả địa chỉ metadata link-local. Yêu cầu là blind (không phản hồi): callWebhook bỏ qua kết quả và chỉ ghi một dòng thành công hoặc lỗi axios vào nhật ký máy chủ, nên phản hồi không được trả về thông qua API.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.