CVE-2026-21885 in miniflux
Résumé
par VulDB • 22/05/2026
Miniflux 2 est un lecteur de flux open source. Avant la version 2.2.16, le point de terminaison du proxy multimédia de Miniflux (`GET /proxy/{encodedDigest}/{encodedURL}`) peut être abusé pour effectuer une attaque de Server-Side Request Forgery (SSRF). Un utilisateur authentifié peut amener Miniflux à générer une URL de proxy signée pour des URLs multimédias choisies par l'attaquant, intégrées dans le contenu des entrées de flux, y compris des adresses internes (par exemple, localhost, plages RFC1918 privées ou points de terminaison de métadonnées link-local). La requête de l'URL `/proxy/...` résultante amène Miniflux à récupérer et retourner la réponse interne. La version 2.2.16 corrige ce problème.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.