GHSA-38c7-23hj-2wgq
ŚrednieStreszczenie
Atakujący, który zna adres URL webhooka workflow korzystającego z węzła ZendeskTrigger, może wysyłać niesigned POST requests i uruchamiać workflow z dowolnymi danymi. Węzeł nie weryfikuje podpisu HMAC-SHA256, który Zendesk dołącza do każdego wychodzącego webhooka.
Ocena ryzyka
Organizacja jest narażona na nieautoryzowane wywołania workflow, co może prowadzić do nieprzewidzianych działań w systemie oraz potencjalnego wycieku danych.
Rekomendacja
Zaleca się wprowadzenie weryfikacji podpisu HMAC-SHA256 dla webhooków oraz ograniczenie dostępu do adresów URL webhooków tylko dla zaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
## Impact An attacker who knows the webhook URL of a workflow using the ZendeskTrigger node could send unsigned POST requests and trigger the workflow with arbitrary data. The node does not verify the HMAC-SHA256 signature that Zendesk attaches to every outbound webhook, allowing any party to inject