CVE-2026-77067

packages/api/src/resolvers/webhooks/index.ts faylındakı setWebhookResolver çağırıcı tərəfindən təqdim edilən url ünvanını heç bir ünvan yoxlaması olmadan saxlayır və faylda heç bir yoxlama köməkçisi import edilməmişdir. Abunə olunmuş hadisə baş verdikdə, packages/api/src/jobs/call_webhook.ts faylındakı callWebhook funksiyası həmin url ilə, webhook-da qeyd olunan metod və Content-Type ilə, həmçinin hadisə məlumatlarını daşıyan JSON gövdəsi ilə axios.request sorğusunu göndərir. Beləliklə, autentifikasiya olunmuş istifadəçi serveri daxili son nöqtələrə, o cümlədən link-local metadata ünvanlarına hücumçu tərəfindən formalaşdırılmış təkrar sorğular göndərməyə məcbur edə bilər. Sorğu korla (blind) xarakterlidir: callWebhook nəticəni gözardı edir və server loquna yalnız uğur sətirini və ya axios xətasını yazır, buna görə də cavab API vasitəsilə geri qaytarılmır.