CVE-2026-80350

OneUptime'ın webhook hedef kontrolü, IPv4 biçiminde ve küçük bir IPv6 biçimi kümesinde verilen özel ve loopback adreslerini reddeder, ancak IPv4 eşlemeli IPv6 aralığı için bir durum içermez. Webhook teslimat yolu SSRFProtection.validateWebhookTargetIsSafe çağrısını yapar ve Common/Server/Utils/SSRFProtection.ts içinde isBlockedHostnameLiteral tarafından gerçekleştirilen ana bilgisayar-literal taraması, özel ve loopback IPv4 aralıklarını reddeder ve bir IPv6 değerini belirtilmemiş adres, loopback, link-local öneki ve benzersiz-yerel öneklerine karşı test eder. [::ffff:127.0.0.1] gibi bir değer bunların hiçbiriyle eşleşmez. Değer ayrıca bir ad yerine adres literali olarak tanınır, bu nedenle çözümlemeden elde edilen adresleri yeniden kontrol eden yol izlenmez. HTTP istemcisi eşlemeli biçimi gömülü IPv4 adresi olarak ele alır ve ona bağlanır, böylece webhook yapılandırabilen kimliği doğrulanmış bir proje üyesi sunucuyu loopback hizmetlerine, özel ağ aralıklarına ve link-local meta veri uç noktalarına yönlendirebilir ve yanıt, webhook sonucunun okunabildiği yerde kaydedilir. Sürüm 12.0.7 eşlemeli aralık için işleme ekler.