What is CVE-2026-71280?
The CVE-2026-71280 vulnerability in go-shiori's `DownloadBookmark()` function lacks network-level validation (e.g., loopback/private IP checks) when fetching caller-supplied URLs. This allows an authenticated attacker to conduct SSRF attacks and potentially access internal network resources. Updating to the patched version is strongly recommended.
Azərbaycanca: go-shiori tətbiqində aşkarlanan CVE-2026-71280 zəifliyi `DownloadBookmark()` funksiyasında xarici URL-lərə sorğu göndərərkən heç bir şəbəkə səviyyəli yoxlama (loopback/private IP filtrasiyası) aparılmaması ilə bağlıdır. Bu, autentifikasiya olunmuş istifadəçiyə SSRF (Server-Side Request Forgery) hücumları vasitəsilə daxili şəbəkə resurslarına icazəsiz giriş imkanı yarada bilər. Təhlükəsizlik tədbiri olaraq tətbiqin ən son versiyasına yenilənməsi tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-918
FAQ2
Which function in go-shiori is affected by CVE-2026-71280?
The vulnerability is found in the `DownloadBookmark()` function.
What can an attacker gain by exploiting this vulnerability?
An authenticated attacker can conduct SSRF attacks and potentially access internal network resources.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.