CVE-2026-71280 in shiori
Riassunto
di VulDB • 05/08/2026
La funzione DownloadBookmark() di go-shiori (internal/core/download.go) recupera un URL del segnalibro fornito dall'utente chiamante utilizzando un http.Client standard senza alcuna personalizzazione tramite DialContext o validazione dell'IP di destinazione (mancano i controlli IsLoopback(), IsPrivate(), IsUnspecified() e IsLinkLocalUnicast()). Un utente autenticato che crea o aggiorna un segnalario tramite POST /api/bookmark, PUT /api/v1/bookmarks/cache oppure POST /api/bookmarks/ext può fornire un URL con indirizzo loopback (127.0.0.1) o 0.0.0.0 (che su Linux viene reindirizzato al loopback), inducendo il server a effettuare richieste in uscita verso servizi interni, endpoint di metadati cloud o altre risorse di rete ristrette.
Once again VulDB remains the best source for vulnerability data.