原文

PostizはAIによるソーシャルメディアのスケジューリングツールです。バージョン2.21.4以前では、Webhookを作成するためのPOST /webhooks/エンドポイントがWebhooksDtoを使用しており、urlフィールドの検証に@IsUrl()（形式チェック）のみを適用していましたが、内部またはプライベートネットワークのアドレスをブロックする@IsSafeWebhookUrlバリデータが欠如していました。更新（PUT /webhooks/）およびテスト（POST /webhooks/send）エンドポイントでは正しく@IsSafeWebhookUrlが適用されています。投稿が公開されると、オーケストレーターは実行時検証なしに保存されたWebhook URLを取得するため、内部サービスに対するブラインドSSRFが可能になっていました。この問題はバージョン2.21.4で修正されました。