What is CVE-2026-71246?
In Pixelfed, the SearchController (behind the auth middleware) allows authenticated users to supply a URL via the remote-search parameter, which is fetched server-side, but its validation only blocks literal hosts 127.0.0.1, localhost, and ::1 without checking resolved IPs, enabling SSRF attacks against internal services. Users should apply Pixelfed's patch that strengthens URL validation to prevent access to internal networks.
Azərbaycanca: Pixelfed platformasının SearchController funksiyasında autentifikasiya tələb olunsa da, uzaqdan axtarış (remote-search) parametri vasitəsilə daxil edilən URL-in server tərəfindən yoxlanışı zamanı yalnız 127.0.0.1, localhost və ::1 ünvanları bloklanır, lakin DNS həlli nəticəsində əldə olunan daxili IP ünvanlar yoxlanılmır ki, bu da autentifikasiyalı istifadəçilərə Server-Side Request Forgery (SSRF) vasitəsilə daxili resurslara giriş imkanı yaradır. İstifadəçilər bu zəiflikdən qorunmaq üçün Pixelfed yeniləmələrini tətbiq etməli və URL doğrulama mexanizmlərini gücləndirməlidirlər.
Related CVEs
link basis: same weakness class CWE-918
FAQ2
How does the remote-search parameter in Pixelfed lead to an SSRF vulnerability?
The vulnerability arises because the server-side URL validation only blocks the literal hosts 127.0.0.1, localhost, and ::1, without checking resolved IPs. This allows authenticated users to access internal services via SSRF.
What should users do to protect against this SSRF vulnerability?
Users should apply Pixelfed's patch that strengthens URL validation to prevent access to internal networks.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.