CVE-2026-108594
Beschrijving NL
Mealie 3.26.0 tot en met 3.28.0 bevat een server-side request forgery kwetsbaarheid in de OpenID Connect avatar fetch die poorten negeert bij het toestaan van de hostnaam van de identiteitsprovider. Geverifieerde OIDC-gebruikers die hun afbeeldings-URL beheren, kunnen de server GET-verzoeken LATEN verzenden naar willekeurige poorten op het interne adres van de provider bij elke aanmelding.
Origineel (Engels) tonen
Mealie 3.26.0 through 3.28.0 contains a server-side request forgery vulnerability in the OpenID Connect avatar fetch that ignores ports when allowlisting the identity provider hostname. Authenticated OIDC users who control their picture URL can make the server send GET requests to arbitrary ports on the provider's internal address on each login.