Existe um problema no componente de entrega de webhook que não valida adequadamente os endereços de destino, permitindo Server-Side Request Forgery (SSRF). SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido. Um usuário autenticado com permissões de ProjectAdmin pode configurar uma política de webhook apontando para intervalos de IP privados ou link-local. Quando ocorre um evento de projeto, o jobservice envia requisições HTTP POST externas não autenticadas para o destino especificado. Se o destino retornar um status de erro, o corpo da resposta é registrado no log de execução do webhook, que é acessível aos membros do projeto, podendo expor metadados de nuvem ou outros recursos restritos da rede.