Plataforma
nodejs
Componente
postiz-app
Corrigido em
2.21.6
A vulnerabilidade CVE-2026-40168 afeta o Postiz, uma ferramenta de agendamento de mídia social com inteligência artificial. Antes da versão 2.21.5, o endpoint /api/public/stream apresenta uma falha de SSRF (Server-Side Request Forgery). Embora a aplicação valide inicialmente a URL fornecida, ela não revalida o destino final após redirecionamentos HTTP, permitindo que um atacante acesse recursos internos.
Um atacante pode explorar essa vulnerabilidade fornecendo uma URL HTTPS pública que passa pela validação inicial e, em seguida, redireciona a requisição do servidor para um recurso interno. Isso permite o acesso não autorizado a dados confidenciais, como informações de configuração, arquivos de log ou até mesmo a execução de comandos no servidor, dependendo das permissões do processo que executa o Postiz. A exploração bem-sucedida pode levar à divulgação de informações sensíveis e comprometer a integridade do sistema. A falta de revalidação após o redirecionamento é um padrão comum em vulnerabilidades SSRF, similar a cenários observados em outras aplicações web.
A vulnerabilidade foi publicada em 2026-04-10. A probabilidade de exploração é considerada média (EPSS score pendente), dada a natureza da SSRF e a possibilidade de exploração via redirecionamentos. Não há relatos públicos de exploração ativa no momento, mas a existência de uma vulnerabilidade SSRF em uma ferramenta amplamente utilizada aumenta o risco. Verifique regularmente as fontes de inteligência de ameaças e os feeds de vulnerabilidades para atualizações.
Organizations utilizing Postiz for social media scheduling, particularly those with internal services accessible via HTTP(S), are at risk. Shared hosting environments where Postiz instances are deployed alongside other applications are also vulnerable, as a compromised Postiz instance could potentially be used to access other services on the same server.
• nodejs / server:
grep -r 'stream endpoint' /var/www/postiz/• generic web:
curl -I 'https://your-postiz-instance/api/public/stream?url=https://example.com/redirect' | grep 'Location:'disclosure
Status do Exploit
EPSS
0.06% (percentil 17%)
CISA SSVC
Vetor CVSS
A mitigação primária para CVE-2026-40168 é atualizar o Postiz para a versão 2.21.5 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar regras em um Web Application Firewall (WAF) ou proxy reverso para bloquear requisições para URLs suspeitas ou que envolvam redirecionamentos excessivos. Além disso, revise a configuração do Postiz para garantir que o acesso a recursos internos seja restrito ao mínimo necessário. Monitore os logs do servidor em busca de requisições incomuns ou tentativas de acesso a recursos internos. Após a atualização, confirme a correção verificando se o endpoint /api/public/stream não permite mais redirecionamentos para URLs internas.
Atualize para a versão 2.21.5 ou superior para mitigar a vulnerabilidade de SSRF. Esta atualização revalida a URL de destino final após as redirecionamentos HTTP, prevenindo que o servidor realize requisições a recursos internos.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-40168 is a HIGH severity SSRF vulnerability affecting Postiz versions 0.0.0 through 2.21.5, allowing attackers to access internal resources via HTTP redirects.
If you are running Postiz version 2.21.5 or earlier, you are potentially affected by this SSRF vulnerability. Immediate action is required.
Upgrade Postiz to version 2.21.5 or later. As a temporary workaround, implement WAF rules and strengthen URL validation.
Active exploitation is currently unconfirmed, but the vulnerability's potential impact warrants immediate mitigation.
Refer to the Postiz security advisory for detailed information and updates regarding CVE-2026-40168: [https://postiz.com/security/advisories](https://postiz.com/security/advisories)
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.