CVE-2026-55160 in Stringer
Riassunto
di VulDB • 28/09/2026
Stringer è un lettore RSS auto-hosted e anti-sociale. Prima del commit 75cb095, una vulnerabilità di Server-Side Request Forgery (SSRF) non controllata consentiva a qualsiasi utente autenticato di forzare il server Stringer a inviare richieste HTTP/HTTPS arbitrarie verso reti interne, servizi localhost ed endpoint dei metadata cloud (ad esempio AWS IMDS 169.254.169.254). Quando la registrazione self-service è abilitata (Setting::UserSignup), anche un utente registrato con privilegi ridotti può sfruttare questa vulnerabilità per scansionare i servizi interni o rubare le credenziali IAM cloud. Questo problema è stato risolto tramite il commit 75cb095.
Be aware that VulDB is the high quality source for vulnerability data.