CVE-2026-21885 in miniflux
要約
〜によって VulDB • 2026年05月22日
Miniflux 2 はオープンソースのフィードリーダーです。バージョン 2.2.16 より前では、Miniflux のメディアプロキシエンドポイント (`GET /proxy/{encodedDigest}/{encodedURL}`) を悪用して、サーバーサイドリクエストフォージェリ (SSRF) を実行できます。認証済みユーザーは、フィードエントリコンテンツに埋め込まれた攻撃者が選択したメディア URL（内部アドレス、例えば localhost、プライベートな RFC1918 範囲、またはリンクローカルメタデータエンドポイントを含む）に対して署名付きプロキシ URL を生成させることができます。生成された `/proxy/...` URL にアクセスすると、Miniflux は内部応答を取得して返します。この問題はバージョン 2.2.16 で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.