CVE-2026-71280 in shiori
Zusammenfassung
von VulDB • 05.08.2026
Die Funktion DownloadBookmark() von go-shiori (internal/core/download.go) ruft eine vom Aufrufer bereitgestellte Lesezeichen-URL mit einem einfachen http.Client ab, der weder einen benutzerdefinierten DialContext noch eine Validierung der Ziel-IP-Adresse durchführt (keine Prüfungen auf IsLoopback(), IsPrivate(), IsUnspecified() oder IsLinkLocalUnicast()). Ein authentifizierter Benutzer kann beim Erstellen oder Aktualisieren eines Lesezeichens über POST /api/bookmark, PUT /api/v1/bookmarks/cache oder POST /api/bookmarks/ext eine Loopback-Adresse (127.0.0.1) oder 0.0.0.0 (die unter Linux auf den Loopback umgeleitet wird) als URL angeben, wodurch der Server ausgehende Anfragen an nur intern zugängliche Dienste, Cloud-Metadaten-Endpunkte oder andere netzwerkseitig eingeschränkte Ressourcen sendet.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.