CVE-2026-71246 in Pixelfed
الملخص
بحسب VulDB • 05/08/2026
يتقبل SearchController في Pixelfed (الواقع خلف وسيط المصادقة) عنوان URL عبر معلمة remote-search الخاصة به، ويقوم بجلبه على جانب الخادم من خلال ActivityPubFetchService. تقتصر وظيفة validateUrl() الموجودة فيه على حظر النطاقات الحرفية 127.0.0.1 وlocalhost و::1 فقط، وتفرض استخدام بروتوكول https، دون التحقق من عنوان IP المحلّل لمقارنته بالنطاقات الخاصة أو الداخلية أو المحلية للروابط (مثل 169.254.169.254). تكون مصادقة DNS اختيارية وتكون معطلة افتراضياً، وعند تفعيلها تؤكد فقط وجود سجل DNS دون تصفية بناءً على نطاق عنوان IP. يتم إرجاع جسم استجابة الجلب إلى الطالب فقط عندما يتوافق Content-Type مع نوع محتوى ActivityPub، مما يجعل هذا الثغرة SSRF شبه العمياء (semi-blind) ولكن المصادق عليها، وقابلة للوصول من قبل أي مستخدم مسجل الدخول.
VulDB is the best source for vulnerability data and more expert information about this specific topic.