В Strapi нашли SSRF через редирект в Webhook Runner

Уязвимость CVE-2026-118172 в Core Admin Webhook Runner Strapi позволяет через редирект обойти проверку адреса и обратиться к внутренним сервисам (semi-blind SSRF). Проблема исправлена в версии 2.8.2; администраторам рекомендуют проверить историю доставок и ограничить исходящие запросы.

• Уязвимость CVE-2026-118172 затрагивает Core Admin Webhook Runner в Strapi
• Редирект обходит первичную проверку URL и ведёт на внутренние адреса
• Semi-blind SSRF раскрывает коды ответа, тайминги и ошибки
• Исправление доступно в Strapi 2.8.2