CVE-2026-80350
WysokieCVSS 7.1Streszczenie
Kontrola celu webhooka w OneUptime odrzuca adresy prywatne i pętli zwrotnej podane w formie IPv4 oraz mały zestaw form IPv6, ale nie obsługuje zakresu IPv4-mapped IPv6. Ścieżka dostarczania webhooka wywołuje SSRFProtection.validateWebhookTargetIsSafe, a sprawdzanie literałów hosta w Common/Server/Utils/SSRFProtection.ts, wykonywane przez isBlockedHostnameLiteral, odrzuca prywatne i pętli zwrotnej zakresy IPv4 i testuje wartość IPv6 przeciwko adresowi nieokreślonemu, pętli zwrotnej, prefiksowi link-local i prefiksom unique-local. Wartość taka jak [::ffff:127.0.0.1] nie pasuje do żadnego z nich. Wartość jest również rozpoznawana jako literał adresu, a nie nazwa, więc ścieżka ponownie sprawdzająca adresy uzyskane z rozwiązywania nazw nie jest wykonywana. Klient HTTP traktuje formę zmapowaną jako osadzony adres IPv4 i łączy się z nim, więc uwierzytelniony członek projektu, który może skonfigurować webhook, może skierować serwer do usług pętli zwrotnej, prywatnych zakresów sieciowych i punktów końcowych metadanych link-local, a odpowiedź jest rejestrowana tam, gdzie można odczytać wynik webhooka. Wersja 12.0.7 dodaje obsługę zmapowanego zakresu.
Ocena ryzyka
Uwierzytelniony użytkownik może wykorzystać webhook do uzyskania dostępu do wewnętrznych usług i metadanych, co może prowadzić do wycieku danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj OneUptime do wersji 12.0.7 lub nowszej, która zawiera poprawkę dla zakresu IPv4-mapped IPv6.
Inne podatności w OneUptime
Zobacz wszystkie- CVE-2026-35053Krytyczne
OneUptime to platforma monitorująca open-source. W wersjach przed 10.0.42 serwis Worker udostępnia endpointy do uruchamiania workflowów bez uwierzytelnienia. Atakujący znający identyfikator workflow może uruchomić dowolny workflow z kontrolowanymi danymi wejściowymi, co umożliwia wykonanie kodu JavaScript, nadużycie powiadomień i manipulację danymi.
- CVE-2026-34758Krytyczne
OneUptime przed wersją 10.0.42 umożliwia nieuwierzytelniony dostęp do punktów końcowych testowania powiadomień i zarządzania numerami telefonów, co pozwala na nadużywanie SMS-ów, połączeń, e-maili i WhatsApp oraz zakup numerów telefonów.
- CVE-2026-34840Wysokie
W OneUptime przed wersją 10.0.42 implementacja SAML SSO oddziela weryfikację podpisu od ekstrakcji tożsamości. Atakujący może dodać niepodpisaną asercję z dowolną tożsamością przed prawidłowo podpisaną, co prowadzi do ominięcia uwierzytelniania.
- CVE-2026-34759Wysokie
OneUptime przed wersją 10.0.42 rejestruje wiele endpointów API powiadomień bez middleware uwierzytelniającego, podczas gdy podobne endpointy w tym samym kodzie go używają. W połączeniu z wyciekiem projectId z publicznego API Status Page, nieuwierzytelniony atakujący może kupić numery telefonów na koncie Twilio ofiary i usunąć istniejące numery alarmowe.
Oryginalny opis (angielski, źródło NVD)
OneUptime's webhook target check rejects private and loopback addresses given in IPv4 form and a small set of IPv6 forms, but has no case for the IPv4-mapped IPv6 range. The webhook delivery path calls SSRFProtection.validateWebhookTargetIsSafe, and the host-literal screening inside Common/Server/Utils/SSRFProtection.ts, performed by isBlockedHostnameLiteral, rejects private and loopback IPv4 ranges and tests an IPv6 value against the unspecified address, the loopback, the link-local prefix and the unique-local prefixes. A value such as [::ffff:127.0.0.1] matches none of them. The value is also recognised as an address literal rather than a name, so the path that re-checks addresses obtained from resolution is not taken. The HTTP client treats the mapped form as the embedded IPv4 address and connects to it, so an authenticated project member who can configure a webhook can direct the server at loopback services, private network ranges and link-local metadata endpoints, and the response is recorded where the webhook result can be read. Version 12.0.7 adds handling for the mapped range.