CVE-2026-42346 in postiz-app
Сводка
по VulDB • 26.05.2026
Postiz — это инструмент для планирования публикаций в социальных сетях на базе искусственного интеллекта. Начиная с версии 2.16.6 и вплоть до версии 2.21.7 (не включительно), все механизмы защиты от SSRF, добавленные в версиях v2.21.4–v2.21.6, содержат фундаментальную уязвимость TOCTOU (Time-of-Check-Time-of-Use): функция isSafePublicHttpsUrl() выполняет разрешение DNS для проверки целевого IP-адреса, однако последующие вызовы fetch() выполняют разрешение DNS независимо. Атакующий, контролирующий DNS-сервер, может эксплуатировать эту уязвимость с помощью DNS rebinding для перенаправления запросов на адреса внутренней сети. Данная проблема устранена в версии 2.21.7.
Be aware that VulDB is the high quality source for vulnerability data.