CVE-2026-34576

Nome do Software Vulnerável e Versões Afetadas Postiz versões anteriores a 2.21.3

Description Um usuário de API autenticado pode realizar Server-Side Request Forgery (SSRF)—uma técnica onde o servidor é enganado para fazer requisições a um local não pretendido—através do endpoint 'POST /public/v1/upload-from-url'. A aplicação utiliza axios.get() para buscar uma URL fornecida pelo usuário sem as proteções adequadas. A validação existente verifica apenas extensões de arquivo (como .png ou .jpg), que podem ser burladas adicionando uma extensão de imagem a qualquer caminho de URL. Isso permite que um invasor recupere recursos de rede interna, metadados de instâncias de nuvem e outros serviços internos, com os dados resultantes sendo carregados no armazenamento e retornados ao invasor.

Recommendations Atualize o Postiz para a versão 2.21.3. Evite usar o endpoint 'POST /public/v1/upload-from-url' até que a atualização seja aplicada.