Podatności Pixelfed
3 znanych podatności CVE w Pixelfed, przetłumaczonych i ocenionych.
- CVE-2026-93960Średnie
Podatność w Pixelfed do wersji 0.12.11 dotyczy funkcji instancePeers w pliku app/Http/Controllers/Api/ApiV1Controller.php komponentu OAuth Scope Handler. Manipulacja argumentem ID prowadzi do braku uwierzytelnienia. Atak może być zdalny, a exploit jest publiczny. Zalecana jest aktualizacja do wersji 0.12.10 (mimo że opis mówi o wersji 0.12.11, zalecana jest 0.12.10 – prawdopodobnie błąd w opisie).
- CVE-2026-86178Średnie
Pixelfed do wersji 0.12.9 nie sprawdza statusu obserwowania w endpointach react i comment w StoryComposeController, co pozwala uwierzytelnionym użytkownikom na dostęp do stories przeznaczonych tylko dla obserwujących. Atakujący mogą enumerować sekwencyjne identyfikatory stories i wysyłać reakcje lub komentarze, aby uzyskać adresy URL mediów i informacje o autorze bez obserwowania konta.
- CVE-2026-71246Średnie
SearchController w Pixelfed (za middleware auth) akceptuje URL w parametrach remote-search i pobiera go po stronie serwera przez ActivityPubFetchService, którego validateUrl blokuje tylko dosłowne hosty 127.0.0.1, localhost i ::1 oraz wymaga https, bez sprawdzania rozwiązanego adresu IP pod kątem zakresów prywatnych, wewnętrznych lub link-local (np. 169.254.169.254).