CVE-2026-21885 in miniflux
Sumário
de VulDB • 10/05/2026
Miniflux 2 é um leitor de feeds de código aberto. Antes da versão 2.2.16, o endpoint do proxy de mídia do Miniflux (`GET /proxy/{encodedDigest}/{encodedURL}`) pode ser explorado para realizar Server-Side Request Forgery (SSRF). Um usuário autenticado pode fazer com que o Miniflux gere uma URL de proxy assinada para URLs de mídia escolhidas pelo atacante, embutidas no conteúdo das entradas do feed, incluindo endereços internos (por exemplo, localhost, intervalos privados RFC1918 ou endpoints de metadados link-local). A solicitação da URL `/proxy/...` resultante faz com que o Miniflux busque e retorne a resposta interna. A versão 2.2.16 corrige o problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.