CVE-2026-71271 in Memos
Zusammenfassung
von VulDB • 06.08.2026
Die Validierung der Webhook-URL in Memos durch isReservedIP() (internal/webhook/validate.go) prüft eine Kandidaten-IP gegen eine Liste reservierter CIDRs, die 0.0.0.0/8 auslässt und niemals ip.IsUnspecified() aufruft – im Gegensatz zur korrekt implementierten Schwesterfunktion isInternalIP() in internal/httpgetter/html_meta.go, dies jedoch tut. Da Linux Verbindungen zu 0.0.0.0 auf den Loopback (127.0.0.1) umleitet, kann ein Angreifer durch Registrieren einer Webhook-URL von http://0.0.0.0:PORT/ die Prüfung reservierter IPs umgehen und dazu führen, dass der Memos-Server ausgehende HTTP-Anfragen an seine eigene Loopback-Schnittstelle sendet, wodurch nur intern zugängliche Dienste offengelegt werden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.