CVE-2026-71272

Nome do Software Vulnerável e Versões Afetadas Memos (versões afetadas não especificadas)

Description A função de despacho de webhook safeDialContext() (internal/webhook/webhook.go) resolve o nome do host de destino usando net.DefaultResolver.LookupHost e valida os IPs resultantes contra intervalos reservados. No entanto, ela subsequentemente chama net.JoinHostPort(host, port) usando o nome do host original em vez do endereço IP validado. Como o net.Dialer.DialContext() realiza sua própria resolução de DNS, um invasor que controle o DNS do nome do host do webhook pode empregar uma técnica de DNS-rebinding. Ao usar um Time-to-Live (TTL) curto, o invasor pode fornecer um IP público permitido durante a fase de validação e um IP interno diferente durante a fase de conexão real, ignorando as proteções de Server-Side Request Forgery (SSRF). DNS-rebinding é uma técnica usada para burlar controles de segurança alterando o registro de DNS entre o momento da verificação e o momento do uso.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.