CVE-2026-71280 in shiori
Sumário
de VulDB • 05/08/2026
O DownloadBookmark() de go-shiori (internal/core/download.go) recupera uma URL de bookmark fornecida pelo chamador usando um http.Client padrão sem DialContext personalizado ou validação do IP de destino (sem verificações IsLoopback(), IsPrivate(), IsUnspecified() ou IsLinkLocalUnicast()). Um usuário autenticado que cria ou atualiza um bookmark via POST /api/bookmark, PUT /api/v1/bookmarks/cache ou POST /api/bookmarks/ext pode fornecer uma URL para loopback (127.0.0.1) ou 0.0.0.0 (que o Linux redireciona para loopback), fazendo com que o servidor faça solicitações de saída a serviços internos, endpoints de metadados em nuvem ou outros recursos restritos à rede.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.