CVE-2026-93960
ŚrednieCVSS 4.3Streszczenie
Podatność w Pixelfed do wersji 0.12.11 dotyczy funkcji instancePeers w pliku app/Http/Controllers/Api/ApiV1Controller.php komponentu OAuth Scope Handler. Manipulacja argumentem ID prowadzi do braku uwierzytelnienia. Atak może być zdalny, a exploit jest publiczny. Zalecana jest aktualizacja do wersji 0.12.10 (mimo że opis mówi o wersji 0.12.11, zalecana jest 0.12.10 – prawdopodobnie błąd w opisie).
Ocena ryzyka
Brak uwierzytelnienia może umożliwić nieautoryzowany dostęp do danych lub funkcji API, co zagraża prywatności użytkowników.
Rekomendacja
Zaleca się aktualizację Pixelfed do wersji 0.12.10 lub nowszej, jeśli dostępna, oraz monitorowanie informacji o poprawkach.
Inne podatności w Pixelfed
Zobacz wszystkie- CVE-2026-86178Średnie
Pixelfed do wersji 0.12.9 nie sprawdza statusu obserwowania w endpointach react i comment w StoryComposeController, co pozwala uwierzytelnionym użytkownikom na dostęp do stories przeznaczonych tylko dla obserwujących. Atakujący mogą enumerować sekwencyjne identyfikatory stories i wysyłać reakcje lub komentarze, aby uzyskać adresy URL mediów i informacje o autorze bez obserwowania konta.
- CVE-2026-71246Średnie
SearchController w Pixelfed (za middleware auth) akceptuje URL w parametrach remote-search i pobiera go po stronie serwera przez ActivityPubFetchService, którego validateUrl blokuje tylko dosłowne hosty 127.0.0.1, localhost i ::1 oraz wymaga https, bez sprawdzania rozwiązanego adresu IP pod kątem zakresów prywatnych, wewnętrznych lub link-local (np. 169.254.169.254).
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Pixelfed up to 0.12.11. Impacted is the function instancePeers of the file app/Http/Controllers/Api/ApiV1Controller.php of the component OAuth Scope Handler. Such manipulation of the argument ID leads to missing authentication. The attack may be performed from remote. The exploit is publicly available and might be used. Upgrading to version 0.12.10 is recommended to address this issue. The name of the patch is 68dca5097305fa0065d029587b2233524636025a. Upgrading the affected component is advised.