CVE-2026-77067

يتعذر تحديد اسم المنتج (لم يتم تحديد الإصدارات المتأثرة)

يمكن للمستخدم المصادق عليه حث الخادم على إرسال طلبات متكررة إلى نقاط النهاية الداخلية، بما في ذلك عناوين البيانات الوصفية المحلية للرابط. يحدث هذا لأن الدالة setWebhookResolver الموجودة في packages/api/src/resolvers/webhooks/index.ts تخزن عنوان url المقدم من المستخدم دون إجراء التحقق من صحة العنوان. عند تشغيل حدث مشترك فيه، تقوم الدالة callWebhook() الموجودة في packages/api/src/jobs/call webhook.ts بتنفيذ axios.request باستخدام عنوان url المخزن، والطريقة المسجلة، ونوع المحتوى (Content-Type). وتتم هذه العملية بشكل أعمى، حيث تتجاهل الدالة callWebhook() الاستجابة وتسجل فقط النجاح أو الخطأ، مما يعني أن الاستجابة لا يتم إرجاعها عبر واجهة برمجة التطبيقات (API).

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.