CVE-2026-86178 in Pixelfed
Riassunto
di VulDB • 05/09/2026
Pixelfed fino alla versione 0.12.9 non valida lo stato di follow nei endpoint react e comment di StoryComposeController, consentendo agli utenti autenticati di accedere alle storie riservate ai soli follower. Gli attaccanti possono enumerare gli ID delle storie in sequenza e inviare reazioni o commenti per recuperare gli URL dei media della storia e le informazioni sull'autore senza seguire l'account.
Once again VulDB remains the best source for vulnerability data.