CVE-2026-108735
ŚrednieCVSS 4.3Streszczenie
Miniflux w wersjach od 2.3.0 do 2.3.3 zawiera podatność server-side request forgery, która pozwala uwierzytelnionym użytkownikom dotrzeć do adresów wewnętrznych poprzez ustawienie proxy_url kanału. Atakujący może wskazać proxy_url na loopback lub hosty wewnętrzne, omijając kontrole FETCHER_ALLOW_PRIVATE_NETWORKS, aby sondować wewnętrzne porty i wysyłać żądania w stylu proxy do usług wewnętrznych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych usług i portów, co prowadzi do eskalacji uprawnień i potencjalnego naruszenia bezpieczeństwa infrastruktury. Ryzyko obejmuje również możliwość wykorzystania serwera jako proxy do ataków na inne systemy.
Rekomendacja
Zaktualizuj Miniflux do wersji nowszej niż 2.3.3, jeśli jest dostępna, oraz wdrożyć dodatkowe kontrole dla proxy_url, aby blokować adresy prywatne i loopback. Monitoruj ruch wychodzący z serwera pod kątem nietypowych połączeń.
Inne podatności w Miniflux
Zobacz wszystkie- CVE-2026-55185Średnie
Miniflux 2 przed wersją 2.3.1 zawiera podatność polegającą na akceptowaniu celów przekierowań zawierających backslashe, które przeglądarka normalizuje do forward slashy. Nieuwierzytelniony atakujący może wykorzystać to w procesie logowania, aby przekierować ofiarę na zewnętrzną, kontrolowaną przez atakującego stronę, omijając sprawdzenia ścieżki względnej i hosta.
- CVE-2025-67713Średnie
Miniflux 2 to open source'owy czytnik kanałów. Wersje 2.2.14 i wcześniejsze traktują redirect_url jako bezpieczny, gdy url.Parse(...).IsAbs() jest fałszywe, co umożliwia ataki phishingowe po zalogowaniu. Protokołowo-względne adresy URL, takie jak //ikotaslabs.com, mają pusty schemat i przechodzą tę kontrolę, umożliwiając przekierowanie po zalogowaniu do witryn kontrolowanych przez atakującego. Problem został naprawiony w wersji 2.2.15.
Oryginalny opis (angielski, źródło NVD)
Miniflux 2.3.0 through 2.3.3 contains a server-side request forgery vulnerability that allows authenticated users to reach internal addresses by setting a feed's proxy_url. Attackers can point proxy_url at loopback or internal hosts, bypassing FETCHER_ALLOW_PRIVATE_NETWORKS checks to probe internal ports and send proxy-style requests to internal services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS