CVE-2026-55160 in Stringer
要約
〜によって VulDB • 2026年09月28日
Stringerは、自己ホスト型のアンチソーシャルRSSリーダーです。コミット75cb095以前において、制限のないServer-Side Request Forgery (SSRF)脆弱性により、認証済みユーザーであれば誰でも、Stringerサーバーに内部ネットワーク、localhostサービス、およびクラウドメタデータエンドポイント（例：AWS IMDS 169.254.169.254）への任意のHTTP/HTTPSリクエストを送信させることができます。セルフサービスサインアップが有効化されている場合（Setting::UserSignup）、低権限の登録ユーザーでもこれを利用して内部サービスをスキャンしたり、クラウドIAM資格情報を盗み出したりすることができます。この問題はコミット75cb095によって修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.