CVE-2026-55598

PinePods to kompletny, hostowany samodzielnie system zarządzania podcastami napisany w języku Rust. Przed wersją 0.9.0 uwierzytelniony użytkownik może subskrybować kanał RSS kontrolowany przez osobę atakującą poprzez `POST /api/data/add_podcast` w `rust-api/src/handlers/podcasts.rs`. `get_podcast_values` i `add_episodes` w `rust-api/src/database.rs` analizują kanał za pomocą `feed-rs` i przechowują `<adres URL załącznika>` dosłownie w `Episodes.episodeurl` bez sprawdzania hosta docelowego/adresu IP. `POST /api/data/download_podcast` wywołuje `spawn_download_podcast_episode` i `download_episode_and_wait()` w `rust-api/src/services/tasks.rs`, które wysyła `reqwest` GET do zapisanego adresu URL oraz zapisuje i rejestruje odpowiedź w `DownloadedEpisodes` do późniejszego pobrania. Ścieżka `estimate_duration_from_audio_url_async()` w `rust-api/src/database.rs` również wysyła niezweryfikowany HEAD podczas dodawania/odświeżania kanału. Domyślne śledzenie przekierowania umożliwia początkowo zewnętrznemu adresowi URL obudowy przekierowanie do wewnętrznego celu. Użytkownik o niskich uprawnieniach może wysyłać żądania GET/HEAD po stronie serwera do dostępnych usług pętli zwrotnej, sieci prywatnej i usług metadanych w chmurze oraz czytać pobrane odpowiedzi wewnętrzne, umożliwiając wyliczanie w ramach usług wewnętrznych, ujawnianie poufnych danych i możliwą kradzież poświadczeń metadanych. Pobieranie odcinków wymaga włączenia pobierania z serwera, co jest ustawieniem domyślnym; obsługiwana jest rejestracja samoobsługowa. Ten problem został rozwiązany w wersji 0.9.0.