CVE-2026-42346 in postiz-app
요약
\~에 의해 VulDB • 2026. 05. 09.
Postiz는 AI 기반 소셜 미디어 예약 도구입니다. 버전 2.16.6부터 버전 2.21.7 이전까지, v2.21.4–v2.21.6에 추가된 모든 SSRF 보호 기능에는 근본적인 TOCTOU(Time-of-Check-Time-of-Use) 취약점이 공존합니다. isSafePublicHttpsUrl() 함수는 대상 IP를 검증하기 위해 DNS를 확인하지만, 이후 fetch() 호출은 DNS를 독립적으로 확인합니다. DNS 서버를 제어하는 공격자는 DNS 리바인딩을 통해 이 격차를 악용하여 요청을 내부 네트워크 주소로 리디렉션할 수 있습니다. 이 문제는 버전 2.21.7에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.