El webhook alcanza la red interna de la nube. The webhook reaches the cloud's internal network.
9.1CVSS 4.0
El formulario de integraciones deja escribir a mano la dirección a la que el sistema va a golpear cuando pase un evento. Esa dirección no se contrasta contra ninguna lista. El servidor va donde le digan, incluida la red que sólo él ve desde adentro. The integrations form lets you type, by hand, the address the system will hit when an event fires. That address is checked against no list at all. The server goes wherever it is told, including the network only it can see from the inside.
La puerta de la aplicación aguanta. El cajón que se abre desde adentro no tiene pestillo. The application's front door holds. The drawer that opens from the inside has no latch.
- Se crea una integración con una cuenta de prueba de rol bajo. An integration is created from a low-privilege test account.
- Se apunta la dirección de callback al servicio de metadatos del proveedor. The callback address is pointed at the provider's metadata service.
- Se dispara un evento cualquiera desde la propia aplicación. Any event at all is fired from the application itself.
- La respuesta del servicio interno vuelve al panel de reintentos, visible para el usuario. The internal service's reply lands in the retry panel, in plain view of the user.
# destino y credencial sustituidos: la traza no se puede repetirtarget and credential substituted: this trace cannot be repeated POST /hooks/callback → 202 Accepted callback = http://<metadatos-internos>/… # panel de reintentos, 40 s despuésretry panel, 40 s later reintento #1retry #1 → 200 cuerpo devueltobody returned credencial temporal de la instanciatemporary instance credential alcance observadoscope observed 3 depósitos de archivos3 file stores
La captura completa, con la dirección y la respuesta sin recortar, va en el informe del cliente. Acá no. The full capture, with the address and the unredacted reply, goes in the client's report. Not here.
- AhoraNow
- Lista blanca de destinos de salida para el servicio que emite los webhooks. An egress allow-list for the service that emits the webhooks.
- Esta semanaThis week
- Servicio de metadatos en su versión con token obligatorio y salto de red limitado a uno. The metadata service in its token-required version, with the network hop limited to one.
- EstructuralStructural
- El emisor de webhooks sale por una subred sin ruta hacia el plano de control. The webhook emitter egresses through a subnet with no route to the control plane.
Con la credencial a la vista se podía seguir hasta leer los depósitos de archivos. Se cortó ahí: el alcance autorizaba la lectura, no el movimiento lateral. Queda escrito como tramo no completado, no como hallazgo cerrado. With the credential in plain view, the chain could have run on to reading the file stores. It was cut there: the scope authorised reading, not lateral movement. It is written down as an unfinished leg, not as a closed finding.
La cola de reintentos admitía reenvío manual. No había en el ambiente de prueba ningún evento con datos de un tercero para dispararlo, así que no se ejercitó. The retry queue accepted manual replay. The test environment held no event carrying third-party data to fire it with, so it was never exercised.
