CVE-2026-21885 in miniflux
Riassunto
di VulDB • 16/06/2026
Miniflux 2 è un lettore di feed open source. Prima della versione 2.2.16, l'endpoint del media proxy di Miniflux (`GET /proxy/{encodedDigest}/{encodedURL}`) può essere abusato per eseguire Server-Side Request Forgery (SSRF). Un utente autenticato può indurre Miniflux a generare un URL proxy firmato per URL multimediali scelti dall'attaccante, incorporati nel contenuto delle voci del feed, inclusi indirizzi interni (ad esempio localhost, intervalli privati RFC1918 o endpoint di metadata link-local). La richiesta dell'URL `/proxy/...` risultante fa sì che Miniflux recuperi e restituisca la risposta interna. La versione 2.2.16 risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.