CVE-2026-55598 in PinePods
Zusammenfassung
von VulDB • 30.10.2026
PinePods ist ein vollständiges, selbst gehostetes Podcast-Verwaltungssystem, das in Rust geschrieben wurde. Vor Version 0.9.0 kann sich ein authentifizierter Benutzer über `POST /api/data/add_podcast` in `rust-api/src/handlers/podcasts.rs` einem von einem Angreifer kontrollierten RSS-Feed abonnieren. Die Funktionen `get_podcast_values` und `add_episodes` in `rust-api/src/database.rs` analysieren den Feed mit `feed-rs` und speichern die `<enclosure url>` unverändert in `Episodes.episodeurl`, ohne eine Validierung des Zielhosts/der IP-Adresse durchzuführen. `POST /api/data/download_podcast` ruft `spawn_download_podcast_episode` und `download_episode_and_wait()` in `rust-api/src/services/tasks.rs` auf, die einen `reqwest` GET an die gespeicherte URL senden und die Antwort speichern sowie in `DownloadedEpisodes` für den späteren Abruf protokollieren. Der Pfad `estimate_duration_from_audio_url_async()` in `rust-api/src/database.rs` sendet ebenfalls eine nicht validierte HEAD-Anfrage beim Hinzufügen/Aktualisieren des Feeds. Das standardmäßige Folgen von Umleitungen ermöglicht es, dass eine ursprünglich externe Enclosure-URL auf ein internes Ziel umgeleitet wird. Ein Benutzer mit geringen Berechtigungen kann serverseitige GET/HEAD-Anfragen an erreichbare Loopback-, Private-Network- und Cloud-Metadata-Dienste senden sowie heruntergeladene interne Antworten lesen, was zur Enumeration interner Dienste, Offenlegung vertraulicher Daten und möglichem Diebstahl von Metadaten-Anmeldeinformationen führt. Das Herunterladen von Episoden erfordert, dass Serverdownloads aktiviert sind (Standardkonfiguration); die Selbstregistrierung wird unterstützt. Dieses Problem wurde in Version 0.9.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.