CVE-2026-125115

Nome do Software Vulnerável e Versões Afetadas Novu versões anteriores a 3.17.0

Description O Novu contém uma falha de Server-Side Request Forgery (SSRF) na função validateUrlSsrf localizada em libs/application-generic/src/utils/ssrf-url-validation.ts. O problema decorre de uma lista de negação incompleta na função isPrivateIp(), que não bloqueia o espaço de endereçamento compartilhado RFC6598 100.64.0.0/10 (Carrier-Grade NAT) nem suas formas IPv6 mapeadas para IPv4. Isso permite que a etapa de requisição HTTP do fluxo de trabalho e a condição de filtro de webhook enviem requisições não autorizadas do lado do servidor para recursos internos. Em ambientes Alibaba Cloud, isso pode ser usado para acessar metadados da instância via 100.100.100.200. Em implantações auto-hospedadas ou multi-tenant, pode expor serviços internos do provedor, infraestrutura privada, malhas de serviço (service meshes) ou recursos de VPN.

Recommendations Atualize o Novu para a versão 3.17.0. Como mitigação temporária, restrinja o uso da função validateUrlSsrf ou limite as requisições HTTP externas da etapa de requisição HTTP do fluxo de trabalho e da condição de filtro de webhook a intervalos de IP públicos conhecidos.