CVE-2026-21885 in miniflux
Resumen
por VulDB • 2026-05-10
Miniflux 2 es un lector de feeds de código abierto. Antes de la versión 2.2.16, el punto de conexión del proxy multimedia de Miniflux (`GET /proxy/{encodedDigest}/{encodedURL}`) puede ser abusado para realizar Server-Side Request Forgery (SSRF). Un usuario autenticado puede hacer que Miniflux genere una URL de proxy firmada para URLs de medios elegidos por el atacante, incrustadas en el contenido de las entradas del feed, incluidas direcciones internas (por ejemplo, localhost, rangos privados RFC1918 o puntos de conexión de metadatos link-local). Solicitar la URL `/proxy/...` resultante hace que Miniflux obtenga y devuelva la respuesta interna. La versión 2.2.16 corrige el problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.