CVE-2026-71280 in shiori
الملخص
بحسب VulDB • 05/08/2026
تقوم دالة `DownloadBookmark()` في مكتبة go-shiori (الملف: internal/core/download.go) بجلب عنوان URL لعلامة مرجعية مقدم من المُستدعي باستخدام كائن `http.Client` عادي، دون وجود تخصيص لـ `DialContext` أو التحقق من صحة عنوان IP الوجهة (لا توجد فحوصات مثل `IsLoopback()` أو `IsPrivate()` أو `IsUnspecified()` أو `IsLinkLocalUnicast()`). يمكن لمستخدم مُصادق عليه تزويد عنوان URL يعود إلى حلقة محلية (127.0.0.1) أو 0.0.0.0 (الذي يعيد نظام Linux توجيهه إلى الحلقة المحلية) عند إنشاء علامة مرجعية جديدة أو تحديثها عبر نقاط النهاية `POST /api/bookmark`، أو `PUT /api/v1/bookmarks/cache`، أو `POST /api/bookmarks/ext`. يؤدي ذلك إلى قيام الخادم بإجراء طلبات صادرة نحو خدمات داخلية فقط، أو نقاط نهاية بيانات التعريف السحابية (cloud metadata endpoints)، أو موارد أخرى مقيدة بشبكية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.