CVSS 9.0 以上
CVE-2026-57566
要約
Readest 0.11.10 より前のバージョンでは、認証不要の /api/opds/proxy ルートが、攻撃者が指定した URL をスキームの制限や、プライベート・ループバック・リンクローカル・メタデータ用ホストのブロック、リダイレクト先の再検証を行わずにサーバー側で取得していた。このルートは、呼び出し側が指定した送信ヘッダーと Authorization の値を受け付け、上流のステータスとレスポンス本文を返していた。この問題はバージョン 0.11.10 で修正されている。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
ReadestNode.jsDockerCloudflare Workers
このタグの新着を RSS で受け取る: Readest / Node.js / Docker / Cloudflare Workers(使い方)
判定の理由
- CVSS 9.0 以上