CVE-2026-75511
ŚrednieCVSS 5.3Streszczenie
Novu przed wersją 3.18.0 nie waliduje adresów URL webhooków czatu pochodzących z różnych źródeł, przekazując je do surowych żądań HTTP. Uwierzytelniony użytkownik może wysyłać żądania POST do wewnętrznych usług sieciowych, co może prowadzić do nieautoryzowanych akcji.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do wykonywania żądań w imieniu workerów Novu do wewnętrznych serwisów, co może narazić organizację na nieautoryzowane operacje lub dostęp do danych.
Rekomendacja
Zaktualizuj Novu do wersji 3.18.0 lub nowszej, która zawiera poprawkę blokującą niebezpieczne adresy URL.
Inne podatności w Novu
Zobacz wszystkie- CVE-2026-75517Średnie
Novu przed wersją 3.18.0 przypadki użycia mutacji integracji, w tym remove-integration, update-integration, auto-configure-integration i set-integration-as-primary, wyszukują integrację po integrationId i organizationId bez konsekwentnego wymuszania environmentId. Wywołujący z dostępem do jednego środowiska w organizacji może wskazać identyfikator integracji z innego środowiska i usunąć integrację, zmodyfikować jej poświadczenia, zmienić głównego dostawcę lub wyzwolić automatyczną konfigurację. Biuletyn bezpieczeństwa definiuje zarówno klucze API środowiska, jak i sesje pulpitu jako dotknięte. Zmiana w 3.18.0 wymusza granicę środowiska tylko dla uwierzytelniania kluczem API o zasięgu środowiska, podczas gdy testy celowo zachowują zachowanie sesji pulpitu między środowiskami, więc nie usuwa całkowicie zakresu zdefiniowanego w biuletynie. Wersja 3.18.0 jest częściową próbą naprawy, a zachowanie sesji pulpitu wymaga rozstrzygnięcia przez kuratora.
- CVE-2026-75510Średnie
Novu przed wersją 3.18.0 akceptuje adresy URL przekierowań z powiadomień bez walidacji schematu, umożliwiając użycie schematu javascript: w atrybucie redirect. Gdy odbiorca kliknie powiadomienie, kod JavaScript może wykonać się w kontekście aplikacji, potencjalnie ujawniając dane sesji.
Oryginalny opis (angielski, źródło NVD)
Novu provides an API for sending notifications through multiple channels. Prior to 3.18.0, Novu accepts chat webhook URLs from subscriber credentials.webhookUrl, channel endpoint endpoint.url, event payload.webhookUrl, and event overrides.webhookUrl, then passes the selected endpoint.url through send-message-chat.usecase.ts to raw HTTP requests in the Slack, Discord, Mattermost, Microsoft Teams, Grafana On-Call, Ryver, Rocket.Chat, GetStream, and Zulip providers. An authenticated user can supply an internal or otherwise restricted destination because these paths do not apply normalizeOutboundHttpUrl, assertSafeOutboundUrl, or the DNS-pinned safeOutboundJsonRequest protection used by the generic webhook providers. The Novu worker can consequently issue attacker-directed POST requests to internal network services and cause interactions or actions supported by those services. This issue is fixed in version 3.18.0.