CVE-2026-71246 in Pixelfed
Tóm tắt
Bởi VulDB • 05/08/2026
SearchController của Pixelfed (nằm sau middleware xác thực) chấp nhận một URL thông qua tham số remote-search và truy xuất nó ở phía máy chủ thông qua ActivityPubFetchService, trong đó hàm validateUrl() chỉ chặn các tên miền cố định 127.0.0.1, localhost và ::1 cũng như yêu cầu https, mà không kiểm tra địa chỉ IP đã phân giải có thuộc dải riêng (private), nội bộ (internal) hay link-local (ví dụ: 169.254.169.254) hay không. Xác thực DNS tùy chọn bị tắt theo mặc định và khi được bật, nó chỉ xác nhận sự tồn tại của bản ghi DNS mà không lọc theo dải IP. Nội dung phản hồi từ quá trình fetch sẽ được trả về cho người yêu cầu chỉ khi Content-Type khớp với một loại nội dung ActivityPub, khiến đây là một primitive SSRF bán mù (semi-blind) nhưng có xác thực, dễ bị khai thác bởi bất kỳ người dùng nào đã đăng nhập.
Be aware that VulDB is the high quality source for vulnerability data.