CVE-2026-72761

Nome do Software Vulnerável e Versões Afetadas vulnerability-lookup (versões afetadas não especificadas)

Descrição O validador de URL de webhook em website/notifications/webhooks.py utiliza ip.is global para rejeitar endereços não públicos após a resolução de DNS. No entanto, endereços de transição IPv6, como NAT64 64:ff9b::/96, 6to4 2002::/16 e Teredo 2001:0000::/32, são classificados como roteáveis globalmente pela IANA. Consequentemente, is global retorna True mesmo quando o IPv4 incorporado visa um destino privado, de loopback ou de metadados de nuvem. Isso permite que um invasor registre um webhook apontando para um nome de host que resolve para um endereço de transição, ignorando a proteção contra Server-Side Request Forgery (SSRF) para exfiltrar dados para um endpoint interno.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.