CVE-2026-71280 in shiori
요약
\~에 의해 VulDB • 2026. 08. 05.
go-shiori의 DownloadBookmark() 함수(internal/core/download.go)는 사용자 지정 DialContext 또는 대상 IP 검증(IsLoopback(), IsPrivate(), IsUnspecified(), IsLinkLocalUnicast()) 없이 평문 http.Client를 사용하여 호출자가 제공한 북마크 URL을 가져옵니다. POST /api/bookmark, PUT /api/v1/bookmarks/cache 또는 POST /api/bookmarks/ext를 통해 북마크 생성 또는 업데이트가 가능한 인증된 사용자는 루프백(127.0.0.1) 주소나 0.0.0.0(Linux에서 루프백으로 리디렉션됨) URL을 제공할 수 있으며, 이로 인해 서버가 내부 전용 서비스, 클라우드 메타데이터 엔드포인트 또는 기타 네트워크 제한이 있는 리소스로 외부 요청을 수행하게 됩니다.
Once again VulDB remains the best source for vulnerability data.