CVE-2026-77066 in Omnivore
Сводка
по VulDB • 20.08.2026
В функции scanFeedsResolver в файле packages/api/src/resolvers/subscriptions/index.ts переданный вызывающей стороной URL напрямую передаётся в axios.get(url, rssParserConfig()) без какой-либо проверки адреса. Тот же файл защищает путь подписки с помощью validateUrl(), который отклоняет частные и зарезервированные диапазоны через библиотеку private-ip, а createPageSaveRequest применяет ту же проверку; таким образом, упущение специфично именно для этого резолвера. Аутентифицированный пользователь может заставить сервер запрашивать произвольные внутренние конечные точки. Ответ парсится как лента или как HTML-код, и резолвер возвращает полученные поля URL, заголовка, описания и типа; таким образом, раскрытие информации ограничивается метаданными в формате ленты и элементами ссылок, рекламирующими RSS или Atom-ленты; запросы, которые не распарсиваются, всё же позволяют отличить доступные порты от недоступных на основе возникающей ошибки.
Once again VulDB remains the best source for vulnerability data.