CVE-2026-55598

Nome do Software Vulnerável e Versões Afetadas PinePods versões anteriores a 0.9.0

Descrição Um usuário autenticado pode disparar requisições do lado do servidor para loopback interno, redes privadas e serviços de metadados de nuvem. Isso ocorre quando o sistema processa um feed RSS controlado por um invasor através do endpoint 'POST /api/data/add podcast'. As funções get podcast values e add episodes em rust-api/src/database.rs armazenam a <enclosure url> em Episodes.episodeurl sem validar o host ou IP de destino. Posteriormente, o endpoint 'POST /api/data/download podcast' aciona spawn download podcast episode e download episode and wait() em rust-api/src/services/tasks.rs, que realiza uma requisição GET para a URL armazenada. Além disso, a função estimate duration from audio url async() em rust-api/src/database.rs envia uma requisição HEAD não validada durante a adição ou atualização do feed. Como o redirecionamento padrão está habilitado, URLs externas podem redirecionar para alvos internos, permitindo a enumeração de serviços internos, a divulgação de dados confidenciais e o possível roubo de credenciais de metadados.

Recomendações Atualizar para a versão 0.9.0.