Postiz: 通过 /public/stream 端点进行未经身份验证的完全读取 SSRF，且扩展检查可轻易绕过

Postiz 是一种 AI 社交媒体调度工具。在 2.21.3 之前的版本中，PublicController 中的 GET /public/stream 端点接受用户提供的 url 查询参数，并将完整的 HTTP 响应代理回调用者。唯一的验证是 url.endsWith('mp4')，这可以通过将 .mp4 作为查询参数值或 URL 片段附加来轻松绕过。该端点不需要身份验证，也没有 SSRF 保护，允许未经身份验证的攻击者从内部服务、云元数据端点和其他网络内部资源读取响应。此问题已在 2.21.3 版本中得到修补。