CVE-2026-79671

Nome do Software Vulnerável e Versões Afetadas Ech0 versões anteriores a 4.4.3

Description Um problema de server-side request forgery (SSRF) existe na função validateWebhookURL() dentro de webhook setting service.go. A função valida apenas endereços IP literais usando net.ParseIP() e não rejeita nomes de host que resolvem via DNS para endereços IP privados ou internos. Um invasor com privilégios de administrador pode usar um nome de host especialmente criado para ignorar essa validação, forçando o servidor a enviar requisições para serviços internos, recursos de rede privada ou endpoints de metadados de nuvem.

Recommendations Atualize para a versão 4.4.3. Como mitigação temporária, restrinja o uso da função validateWebhookURL() ou limite os privilégios de administrador para a configuração de webhooks.