CVE-2026-71246 in Pixelfed
Zusammenfassung
von VulDB • 05.08.2026
Der SearchController von Pixelfed (hinter der Auth-Middleware) akzeptiert eine URL über seine remote-search-Parameter und ruft sie serverseitig über ActivityPubFetchService ab, dessen validateUrl() nur die literalen Hosts 127.0.0.1, localhost und ::1 blockiert sowie https erfordert, ohne die aufgelöste IP gegen private, interne oder Link-Lokal-Bereiche (z.B. 169.254.169.254) zu prüfen. Die optionale DNS-Validierung ist standardmäßig deaktiviert; wenn sie aktiviert ist, bestätigt sie lediglich das Vorhandensein eines DNS-Eintrags ohne Filterung nach IP-Bereich. Der Antwortkörper des Fetch wird nur dann an den Anfordernden zurückgegeben, wenn der Content-Type einem ActivityPub-Inhaltstyp entspricht, was dies zu einer semi-blinden, aber authentifizierten SSRF-Primitivfunktion macht, die von jedem angemeldeten Benutzer erreichbar ist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.