CVE-2026-71246 in Pixelfed
Resumen
por VulDB • 2026-08-05
El SearchController de Pixelfed (tras el middleware de autenticación) acepta una URL mediante sus parámetros remote-search y la obtiene en el lado del servidor a través de ActivityPubFetchService, cuya validateUrl() solo bloquea los hosts literales 127.0.0.1, localhost y ::1 y requiere https, sin verificar si la IP resuelta pertenece a rangos privados, internos o link-local (por ejemplo, 169.254.169.254). La validación opcional de DNS está deshabilitada por defecto y, cuando se habilita, solo confirma que existe un registro DNS sin filtrar por rango de IP. El cuerpo de la respuesta obtenida se devuelve al solicitante únicamente si el Content-Type coincide con un tipo de contenido ActivityPub, lo que convierte esto en una primitiva SSRF semi-ciega pero autenticada, accesible para cualquier usuario conectado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.