原文

PostizはAIを活用したソーシャルメディアスケジューリングツールです。バージョン2.21.3以前では、PublicControllerのGET /public/streamエンドポイントがユーザー提供のURLクエリパラメータを受け入れ、そのHTTPレスポンス全体を呼び出し元にプロキシしていました。唯一のバリデーションはurl.endsWith('mp4')であり、これはクエリパラメータの値やURLフラグメントに「.mp4」を追加することで簡単に回避可能でした。このエンドポイントは認証を必要とせず、SSRF保護も実装されていなかったため、認証されていない攻撃者が内部サービス、クラウドメタデータエンドポイント、およびネットワーク内部の他のリソースからレスポンスを読み取ることが可能でした。この問題はバージョン2.21.3で修正されました。