CVE-2026-72846

Lightdash, zamanlanmış bir teslimatla birlikte sağlanan webhook URL'sini saklar ve daha sonra packages/backend/src/clients/GoogleChat/GoogleChatClient.ts içindeki sendWebhook ile ve packages/backend/src/clients/MicrosoftTeams/MicrosoftTeamsClient.ts içinde bu URL'ye POST isteği gönderir. Etkilenen sürümlerde her ikisi de saklanan URL üzerinde doğrudan fetch çağrısı yapar. MCP sunucu URL'leri için kullanılan packages/backend/src/utils/ssrfProtection.ts içindeki validatePublicHttpUrl yardımcı işlevi her iki yolda da uygulanmaz ve webhook alanlarında sunucu tarafında herhangi bir URL kısıtlaması bulunmaz. Bu nedenle zamanlanmış bir teslimat oluşturabilen veya tetikleyebilen bir kullanıcı, sunucuyu özel, loopback ve link-local adreslere, bulut meta veri uç noktaları dahil, POST istekleri göndermeye yönlendirebilir ve ortaya çıkan hatalar aracılığıyla erişilebilir iç hizmetleri erişilemeyenlerden ayırt edebilir. Üst kaynağın yanıtı istekte bulunan tarafa hiçbir zaman döndürülmez; bir hata durumunda yanıt gövdesi bunun yerine sunucu günlüğüne yazılır. Sürüm 1.146.4, her iki istemciyi doğrudan fetch çağırmak yerine packages/backend/src/utils/schedulerWebhookValidation içindeki postSchedulerWebhook üzerinden yönlendirir.