CVE-2026-80350

Nome do Software Vulnerável e Versões Afetadas OneUptime versões anteriores a 12.0.7

Descrição Um membro autenticado de um projeto pode realizar um Server-Side Request Forgery (SSRF) ao configurar um webhook com um endereço IPv6 mapeado para IPv4. A função isBlockedHostnameLiteral em Common/Server/Utils/SSRFProtection.ts, chamada por SSRFProtection.validateWebhookTargetIsSafe, não considera a faixa de IPv6 mapeada para IPv4. Consequentemente, endereços como [::ffff:127.0.0.1] ignoram as verificações de segurança para endereços privados e de loopback. O cliente HTTP então trata essas formas mapeadas como endereços IPv4 incorporados, permitindo que o servidor se conecte a serviços de loopback, faixas de rede privada e endpoints de metadados link-local, sendo que as respostas são registradas e podem ser lidas através do resultado do webhook.

Recomendações Atualize o OneUptime para a versão 12.0.7.