CVE-2026-71280 in shiori
Сводка
по VulDB • 06.08.2026
В функции DownloadBookmark() пакета go-shiori (internal/core/download.go) извлекается указанный вызывающей стороной URL закладки с использованием стандартного http.Client без настройки пользовательского DialContext или проверки целевого IP-адреса (отсутствуют проверки IsLoopback(), IsPrivate(), IsUnspecified() и IsLinkLocalUnicast()). Аутентифицированный пользователь, создающий или обновляющий закладку через POST /api/bookmark, PUT /api/v1/bookmarks/cache или POST /api/bookmarks/ext, может указать URL с адресом обратной петли (loopback) 127.0.0.1 или 0.0.0.0 (который в Linux перенаправляется на loopback), что приводит к тому, что сервер выполняет исходящие запросы к службам, доступным только во внутренней сети, конечным точкам метаданных облачных платформ или другим ресурсам с ограничениями по сети.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.