CVE-2026-72846

Lightdash planlaşdırılmış çatdırılma ilə təmin edilən webhook URL-ni saxlayır və daha sonra packages/backend/src/clients/GoogleChat/GoogleChatClient.ts və packages/backend/src/clients/MicrosoftTeams/MicrosoftTeamsClient.ts fayllarındakı sendWebhook funksiyasından istifadə edərək həmin ünvana sorğu göndərir. Təsirə məruz qalan versiyalarda hər iki halda saxlanılan URL üzərində birbaşa fetch çağırılır. MCP server URL-ləri üçün istifadə olunan packages/backend/src/utils/ssrfProtection.ts faylındakı validatePublicHttpUrl köməkçi funksiyası heç bir yolda tətbiq edilmir və webhook sahələri üçün server tərəfində heç bir URL məhdudiyyəti mövcud deyil. Planlaşdırılmış çatdırılmanı yaratmaq və ya tetikləmək imkanı olan istifadəçi, beləliklə, serveri bulud metadata son nöqtələri də daxil olmaqla şəxsi, loopback və link-local ünvanlara POST sorğuları göndərməyə yönəldə bilər və nəticədə yaranan xətalar vasitəsilə əlçatan daxili xidmətləri əlçatmaz olanlardan fərqləndirə bilər. Upstream cavabı heç vaxt sorğunu göndərənə qaytarılmır; uğursuzluq statusu olduqda onun gövdəsi server loquna yazılır. Versiya 1.146.4 hər iki kliyenti birbaşa fetch çağırmaq əvəzinə packages/backend/src/utils/schedulerWebhookValidation faylındakı postSchedulerWebhook vasitəsilə yönləndirir.