CVE-2026-34577Postiz是一款AI社交媒体调度工具。在2.21.3版本之前，其`/public/stream`接口存在服务器端请求伪造（SSRF）漏洞。该接口未对用户提供的URL参数进行有效验证，仅检查后缀是否为"mp4"，该验证极易被绕过。由于无需认证且无SSRF防护，攻击者可利用此漏洞读取内部服务响应及云元数据，造成敏感信息泄露。
该漏洞位于Postiz的`PublicController`中的`/public/stream`端点。该端点设计初衷可能是用于代理视频流，但其实现逻辑存在严重缺陷。代码仅检查传入的`url`参数是否以"mp4"结尾，作为唯一的验证机制。然而，这种检查可以通过在URL后添加查询参数（如`?x=.mp4`）或片段（如`#.mp4`）来轻松绕过。该端点未实施任何身份认证（PR:N），也未部署SSRF防御策略（如IP黑名单、内网IP过滤等）。因此，攻击者可以通过构造恶意URL，诱导服务器向攻击者指定的任意内网地址（如AWS元数据服务`http://169.254.169.254/latest/meta-data/`或内部数据库管理面板）发起HTTP请求。服务器随后将响应内容代理返回给攻击者，导致内网敏感信息泄露。