Postiz には、/api/public/stream におけるリダイレクトバイパスによる Server-Side Request Forgery (SSRF) の脆弱性が存在します

このSSRF脆弱性を悪用されると、攻撃者はPostizサーバーを介して内部ネットワークリソースへのアクセスを試みることができます。例えば、内部APIエンドポイントへのアクセス、機密情報の取得、さらには内部システムへの攻撃の足がかりとして利用される可能性があります。攻撃者は、HTTPS経由で公開URLを送信し、PostizサーバーがHTTPリダイレクト後に最終的な宛先を検証しないことを利用します。この脆弱性の影響範囲は、Postizサーバーがアクセスできる内部ネットワーク全体に及ぶ可能性があります。類似のSSRF脆弱性は、他のアプリケーションでも発見されており、適切な入力検証とリダイレクトの検証が重要であることが示唆されます。

Organizations utilizing Postiz for social media scheduling, particularly those with internal services accessible via HTTP(S), are at risk. Shared hosting environments where Postiz instances are deployed alongside other applications are also vulnerable, as a compromised Postiz instance could potentially be used to access other services on the same server.

• nodejs / server:

grep -r 'stream endpoint' /var/www/postiz/

• generic web:

curl -I 'https://your-postiz-instance/api/public/stream?url=https://example.com/redirect' | grep 'Location:'

1. 2026-04-10Disclosure

   disclosure

1. 予約済み2026-04-09
2. 公開日2026-04-10
3. 更新日2026-04-13
4. EPSS 更新日2026-04-18

この脆弱性への対応策として、Postizのバージョンを2.21.5以上にアップデートすることが最も効果的です。アップデートがすぐに利用できない場合は、WAF（Web Application Firewall）を使用して、Postizサーバーへの不正なリクエストをブロックすることを検討してください。WAFルールは、HTTPリダイレクトを伴うリクエストを監視し、不審な宛先へのアクセスを遮断するように設定する必要があります。また、Postizのネットワーク構成を見直し、内部リソースへのアクセスを制限することも有効です。Postizのアップデート後、システムが正常に動作していることを確認し、SSRF攻撃に対する脆弱性が解消されていることを検証してください。