CVE-2026-72598

Nome do Software Vulnerável e Versões Afetadas Apioo Fusio versão 8.8.3

Description Um usuário autenticado com a função de consumidor pode desencadear uma falsificação de solicitação do lado do servidor (SSRF) ao registrar uma URL de webhook que aponte para um host interno. O endpoint de registro de webhook valida a sintaxe da URL via FILTER VALIDATE URL, mas não aplica uma lista de negação (denylist) de IP ou host. Consequentemente, quando o evento registrado é disparado, o servidor envia uma solicitação HTTP POST para o endereço interno especificado.

Recommendations Atualizar o Apioo Fusio versão 8.8.3 para uma versão que implemente uma lista de negação de IP ou host adequada para registros de webhook.