CVE-2026-80350

OneUptime-ın webhook hədəf yoxlaması IPv4 formatında verilmiş şəxsi və loopback ünvanlarını, həmçinin kiçik bir IPv6 formatları çoxluğunu rədd edir, lakin IPv4-map edilmiş IPv6 diapazonu üçün heç bir hal nəzərdə tutulmayıb. Webhook çatdırılma yolu SSRFProtection.validateWebhookTargetIsSafe funksiyasını çağırır və Common/Server/Utils/SSRFProtection.ts daxilində isBlockedHostnameLiteral tərəfindən həyata keçirilən host-literal süzgəci şəxsi və loopback IPv4 diapazonlarını rədd edir, həmçinin IPv6 dəyərini qeyri-müəyyən ünvan, loopback, link-local prefiksi və unique-local prefiksləri ilə müqayisə edir. [::ffff:127.0.0.1] kimi bir dəyər bunların heç biri ilə üst-üstə düşmür. Dəyər həmçinin ad yerinə ünvan literalı kimi tanındığı üçün, resolver vasitəsilə əldə edilən ünvanları yenidən yoxlayan yol istifadə edilmir. HTTP kliyenti map edilmiş formatı daxili IPv4 ünvanı kimi qəbul edir və ona qoşulur, beləliklə, webhook konfiqurasiya edə bilən autentifikasiya olunmuş layihə üzvü serveri loopback xidmətlərinə, şəxsi şəbəkə diapazonlarına və link-local metadata son nöqtələrinə yönləndirə bilər və cavab webhook nəticəsinin oxuna bildiyi yerdə qeyd edilir. Versiya 12.0.7 map edilmiş diapazon üçün idarəetməni əlavə edir.