PT-2026-32029 · Postiz · Postiz

S4Nso · Publicado 2026-04-10 · Atualizado 2026-04-10 · CVE-2026-40168

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

Name of the Vulnerable Software and Affected Versions Postiz versões anteriores a 2.21.5

Description Postiz, uma ferramenta de agendamento de mídia social com inteligência artificial, possui uma falha de Server-Side Request Forgery (SSRF) no endpoint /api/public/stream. A aplicação valida a URL inicial, mas não valida novamente o destino final após redirecionamentos HTTP. Isso permite que um invasor forneça uma URL HTTPS pública que passe pela validação inicial e, em seguida, redirecione a solicitação do lado do servidor para um recurso interno.

Recommendations Atualize para a versão 2.21.5 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-40168

Produtos afetados

Postiz

Referências · 6

• 🔥 https://github.com/gitroomhq/postiz-app/security/advisories/GHSA-34w8-5j2v-h6ww · Exploit
• https://github.com/gitroomhq/postiz-app/releases/tag/v2.21.5 · Nota
• https://github.com/gitroomhq/postiz-app/commit/30e8b777098157362769226d1b46d83ad616cb06 · Correção
• https://twitter.com/CVEnew/status/2042710184473092215 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40168 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2042725649362661711 · Publicação no Twitter