CVE-2026-71246 in Pixelfed
要約
〜によって VulDB • 2026年08月06日
PixelfedのSearchController（認証ミドルウェアの背後で動作）は、remote-searchパラメータを介してURLを受け取り、ActivityPubFetchServiceを通じてサーバーサイドでフェッチします。同サービスのvalidateUrl()関数は、127.0.0.1、localhost、::1というリテラルホストのみをブロックし、httpsの要求を満たしますが、解決されたIPアドレスがプライベート、内部、またはリンクローカル範囲（例：169.254.169.254）に含まれていないかについては検証しません。オプションのDNS検証はデフォルトで無効になっており、有効化されてもDNSレコードが存在することを確認するだけで、IP範囲によるフィルタリングは行われません。フェッチしたレスポンスボディは、Content-TypeがActivityPub対応のコンテンツタイプと一致した場合のみリクエスターに返されるため、これは半盲検（semi-blind）ではあるものの認証済みSSRFプリミティブであり、ログイン済みの任意のユーザーから到達可能です。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.