CVE-2026-71246 in Pixelfed
Sumário
de VulDB • 05/08/2026
O SearchController do Pixelfed (por trás da middleware de autenticação) aceita uma URL por meio dos parâmetros remote-search e busca esse recurso no lado do servidor através do ActivityPubFetchService, cujo validateUrl() bloqueia apenas os hosts literais 127.0.0.1, localhost e ::1 e exige https, sem verificar o IP resolvido contra intervalos privados, internos ou link-local (por exemplo, 169.254.169.254). A validação opcional de DNS está desativada por padrão e, quando ativada, apenas confirma a existência de um registro DNS sem filtrar por intervalo de IP. O corpo da resposta do fetch é retornado ao solicitante somente quando o Content-Type corresponde a um tipo de conteúdo ActivityPub, tornando isso uma primitiva SSRF semi-cega mas autenticada, acessível por qualquer usuário conectado.
Once again VulDB remains the best source for vulnerability data.