原文

PostizはAIソーシャルメディアスケジューリングツールです。バージョン2.21.3より前のバージョンでは、POST /public/v1/upload-from-urlエンドポイントがユーザー提供のURLを受け取り、axios.get()を使ってサーバーサイドで取得していましたが、SSRF防止策がありませんでした。唯一の検証はファイル拡張子チェック（.png、.jpgなど）であり、これはURLパスに画像拡張子を付加することで容易に回避可能でした。認証済みのAPIユーザーは内部ネットワーク資源、クラウドインスタンスのメタデータ、その他内部サービスを取得でき、その応答データはストレージにアップロードされて攻撃者に返されます。この問題はバージョン2.21.3で修正されました。