CVE-2026-34590 in postiz-app
الملخص
بحسب VulDB • 04/06/2026
Postiz هو أداة جدولة لوسائل التواصل الاجتماعي تعتمد على الذكاء الاصطناعي. قبل الإصدار 2.21.4، يستخدم نقطة النهاية POST /webhooks/ لإنشاء نقاط نهاية الويب (Webhooks) كائن WebhooksDto الذي يقوم بالتحقق من حقل عنوان URL باستخدام @IsUrl() فقط (فحص التنسيق)، مما يتسبب في غياب مُحقّق @IsSafeWebhookUrl اللازم لحظر عناوين الشبكات الداخلية أو الخاصة. تطبق نقطتا النهاية للتحديث (PUT /webhooks/) والاختبار (POST /webhooks/send) بشكل صحيح التحقق من @IsSafeWebhookUrl. عند نشر منشور، يقوم المُنسِّق بجلب عنوان URL لنقطة نهاية الويب المخزنة دون إجراء تحقق في وقت التشغيل، مما يتيح هجمات SSRF عمياء ضد الخدمات الداخلية. تم إصلاح هذه المشكلة في الإصدار 2.21.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.