CVE-2026-75510
ŚrednieCVSS 5.1Streszczenie
Novu przed wersją 3.18.0 akceptuje adresy URL przekierowań z powiadomień bez walidacji schematu, umożliwiając użycie schematu javascript: w atrybucie redirect. Gdy odbiorca kliknie powiadomienie, kod JavaScript może wykonać się w kontekście aplikacji, potencjalnie ujawniając dane sesji.
Ocena ryzyka
Ryzyko przejęcia sesji lub wykonania nieautoryzowanych akcji w aplikacji klienta lub panelu Novu, szczególnie w przeglądarkach opartych na Chromium.
Rekomendacja
Zaktualizuj Novu do wersji 3.18.0, która ogranicza schematy URL w przekierowaniach powiadomień.
Inne podatności w Novu
Zobacz wszystkie- CVE-2026-75517Średnie
Novu przed wersją 3.18.0 przypadki użycia mutacji integracji, w tym remove-integration, update-integration, auto-configure-integration i set-integration-as-primary, wyszukują integrację po integrationId i organizationId bez konsekwentnego wymuszania environmentId. Wywołujący z dostępem do jednego środowiska w organizacji może wskazać identyfikator integracji z innego środowiska i usunąć integrację, zmodyfikować jej poświadczenia, zmienić głównego dostawcę lub wyzwolić automatyczną konfigurację. Biuletyn bezpieczeństwa definiuje zarówno klucze API środowiska, jak i sesje pulpitu jako dotknięte. Zmiana w 3.18.0 wymusza granicę środowiska tylko dla uwierzytelniania kluczem API o zasięgu środowiska, podczas gdy testy celowo zachowują zachowanie sesji pulpitu między środowiskami, więc nie usuwa całkowicie zakresu zdefiniowanego w biuletynie. Wersja 3.18.0 jest częściową próbą naprawy, a zachowanie sesji pulpitu wymaga rozstrzygnięcia przez kuratora.
- CVE-2026-75511Średnie
Novu przed wersją 3.18.0 nie waliduje adresów URL webhooków czatu pochodzących z różnych źródeł, przekazując je do surowych żądań HTTP. Uwierzytelniony użytkownik może wysyłać żądania POST do wewnętrznych usług sieciowych, co może prowadzić do nieautoryzowanych akcji.
Oryginalny opis (angielski, źródło NVD)
Novu provides an API for sending notifications through multiple channels. Prior to 3.18.0, Novu's @novu/js In-App Inbox and the @novu/react Inbox component accept a notification call-to-action redirect.url from the v1 cta.data object and pass it through apps/api/src/app/inbox/utils/notification-mapper.ts and packages/js/src/ui/components/Notification/DefaultNotification.tsx to the navigate function in packages/js/src/ui/context/InboxContext.tsx without validating its URL scheme. An authenticated organization member or environment API-key holder can store a javascript: redirect with target _self in an in-app workflow. When a recipient using a Chromium-based browser clicks the notification, window.open executes the redirect in the current inbox-hosting origin, which can expose session material and permit authenticated actions in a customer application or the self-hosted Novu dashboard. This issue is fixed in version 3.18.0.