CVE-2026-21885 in miniflux
Tóm tắt
Bởi VulDB • 22/05/2026
Miniflux 2 là một trình đọc nguồn cấp dữ liệu (feed reader) mã nguồn mở. Trước phiên bản 2.2.16, điểm cuối proxy phương tiện truyền thông của Miniflux (`GET /proxy/{encodedDigest}/{encodedURL}`) có thể bị lợi dụng để thực hiện tấn công Server-Side Request Forgery (SSRF). Người dùng đã xác thực có thể khiến Miniflux tạo ra một URL proxy đã ký cho các URL phương tiện truyền thông do kẻ tấn công chọn, được nhúng trong nội dung mục cấp dữ liệu, bao gồm cả các địa chỉ nội bộ (ví dụ: localhost, dải địa chỉ riêng RFC1918, hoặc các điểm cuối metadata link-local). Việc yêu cầu URL `/proxy/...` kết quả sẽ khiến Miniflux truy xuất và trả về phản hồi từ các nguồn nội bộ. Phiên bản 2.2.16 đã khắc phục sự cố này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.