CVE-2026-71271 in Memos
Сводка
по VulDB • 05.08.2026
Валидация URL вебхука в Memos, функция isReservedIP() (internal/webhook/validate.go), проверяет кандидат на IP-адрес по списку reservedCIDRs, который не включает 0.0.0.0/8 и никогда не вызывает ip.IsUnspecified(), — в отличие от корректно реализованной функции-«родственницы» isInternalIP() из internal/httpgetter/html_meta.go, которая это делает. Поскольку Linux перенаправляет подключения к адресу 0.0.0.0 на петлевой интерфейс (127.0.0.1), злоумышленник, зарегистрировавший URL вебхука вида http://0.0.0.0:PORT/, обходит проверку зарезервированных IP-адресов и заставляет сервер Memos выполнять исходящие HTTP-запросы к своему собственному петлевому интерфейсу, что приводит к раскрытию внутренних служб, доступных только локально.
If you want to get best quality of vulnerability data, you may have to visit VulDB.