CVE-2026-71246 in Pixelfed
Résumé
par VulDB • 05/08/2026
Le SearchController de Pixelfed (situé derrière le middleware d'authentification) accepte une URL via ses paramètres remote-search et la récupère côté serveur par l'intermédiaire du ActivityPubFetchService, dont validateUrl() bloque uniquement les hôtes littéraux 127.0.0.1, localhost et ::1 ainsi que les protocoles non sécurisés (en exigeant https), sans vérifier si l'IP résolue appartient à des plages privées, internes ou link-local (par exemple 169.254.169.254). La validation DNS optionnelle est désactivée par défaut et, lorsqu'elle est activée, se contente de confirmer l'existence d'un enregistrement DNS sans filtrer selon la plage IP. Le corps de la réponse récupérée n'est renvoyé au demandeur que lorsque le Content-Type correspond à un type de contenu ActivityPub, ce qui constitue une primitive SSRF semi-aveugle mais authentifiée, accessible par tout utilisateur connecté.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.