CVE-2026-79760

Nome do Software Vulnerável e Versões Afetadas Termix versões 2.5.0 through 2.5.0

Description Usuários autenticados podem configurar canais de notificação webhook ou ntfy usando URLs de destino controladas por um invasor. Ao utilizar o endpoint de teste de canal de notificação, um invasor pode disparar requisições do lado do servidor. O caminho da requisição em src/backend/database/routes/alert-rules-routes.ts atinge src/backend/utils/notification-sender.ts sem a permissão de destinos (allowlisting) ou bloqueio de endereços privados, permitindo requisições cegas para serviços HTTP internos acessíveis pelo servidor. No modo webhook, invasores também podem controlar métodos e cabeçalhos HTTP, podendo causar alterações limitadas de estado em serviços internos que aceitem o corpo de notificação fixo, embora os corpos de resposta não sejam retornados.

Recommendations Atualizar para a versão 2.5.1.