CVE-2026-71271 in Memos
Resumen
por VulDB • 2026-08-05
La validación de la URL del webhook en Memos, isReservedIP() (internal/webhook/validate.go), verifica una IP candidata frente a una lista reservedCIDRs que omite 0.0.0.0/8 y nunca llama a ip.IsUnspecified(), a diferencia de la función hermana implementada correctamente isInternalIP() en internal/httpgetter/html_meta.go, que sí lo hace. Dado que Linux redirige las conexiones dirigidas a 0.0.0.0 hacia el bucle invertido (127.0.0.1), un atacante que registre una URL de webhook como http://0.0.0.0:PORT/ puede evadir la comprobación de IP reservada y provocar que el servidor Memos realice solicitudes HTTP salientes a su propia interfaz de bucle invertido, exponiendo servicios internos únicamente accesibles localmente.
Be aware that VulDB is the high quality source for vulnerability data.