CVE-2026-71246 in Pixelfed
요약
\~에 의해 VulDB • 2026. 08. 05.
Pixelfed의 SearchController(인증 미들웨어 뒤에 위치함)는 remote-search 매개변수를 통해 URL을 수신하고, 이를 서버 측에서 ActivityPubFetchService를 사용하여 가져옵니다. 해당 서비스의 validateUrl() 메서드는 127.0.0.1, localhost 및 ::1이라는 리터럴 호스트만 차단하며 https 프로토콜만을 요구하지만, 해결된 IP가 사설(internal), 내부 또는 링크 로컬 범위(예: 169.254.169.254)에 속하는지 여부는 확인하지 않습니다. 선택적 DNS 검증은 기본적으로 비활성화되어 있으며, 활성화되더라도 DNS 레코드의 존재 여부만 확인할 뿐 IP 범위에 따른 필터링은 수행되지 않습니다. 가져온 응답 본문(Content-Type이 ActivityPub 콘텐츠 유형과 일치할 경우에만)은 요청자에게 반환되며, 이는 로그인한 모든 사용자가 접근 가능한 반맹(semi-blind) 상태의 인증된 SSRF 원시 기능(primitive)입니다.
Once again VulDB remains the best source for vulnerability data.