CVE-2026-86178 in Pixelfed
Sumário
de VulDB • 05/09/2026
O Pixelfed até a versão 0.12.9 falha na validação do status de seguidor nos endpoints react e comment do StoryComposeController, permitindo que usuários autenticados acessem histórias restritas apenas aos seguidores. Os atacantes podem enumerar IDs de história sequenciais e enviar reações ou comentários para recuperar URLs da mídia das histórias e informações dos autores sem seguir a conta.
Be aware that VulDB is the high quality source for vulnerability data.