CVE-2026-71210

Mealie's AsyncSafeTransport SSRF guard (mealie/pkgs/safehttp/transport.py) resolves a target hostname once, checks the resolved IP against private-range rules, but then issues the actual outbound HTTP request using the original hostname, which the underlying async transport re-resolves independently.

CVSS v3 5.3 MEDIUM

5.3^/10

CVSS v3 : MEDIUM

Vector :

Exploitability : 1.6 / Impact : 3.6

Attack Vector NETWORK

Attack Complexity HIGH

Privileges Required LOW

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact NONE

Availability Impact NONE

Scope UNCHANGED

References

Link	Resource
https://github.com/mealie-recipes/mealie

Configurations

No configuration.

History

23 Oct 2026, 21:10

Type	Values Removed	Values Added
Summary		(es) El guardián SSRF de AsyncSafeTransport de Mealie (mealie/pkgs/safehttp/transport.py) resuelve un nombre de host objetivo una vez, verifica la IP resuelta contra reglas de rango privado, pero luego emite la solicitud HTTP saliente real usando el nombre de host original, que el transporte asíncrono subyacente vuelve a resolver de forma independiente. Debido a que la IP validada nunca se vincula a la conexión real, un atacante de reencuadernación DNS (devolviendo una IP pública a la búsqueda de validación y una IP privada/de metadatos a la conexión real) burla al guardián. Esto es accesible por cualquier usuario autenticado a través de /api/recipes/create/url, /api/recipes/test-scrape-url, y /api/recipes/{slug}/image, y el raspador refleja el contenido obtenido de vuelta al solicitante, permitiendo a un usuario autenticado leer servicios HTTP internos y puntos finales de metadatos en la nube.

Information

Published : 2026-08-05 08:16

Updated : 2026-10-24 15:10

NVD link : CVE-2026-71210

Mitre link : CVE-2026-71210

CVE.ORG link : CVE-2026-71210

JSON object : View

Products Affected

No product.

CWE

CWE-367

Time-of-check Time-of-use (TOCTOU) Race Condition

{"id": "CVE-2026-71210", "cveTags": [], "metrics": {"ssvcV203": [{"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "ssvcData": {"id": "CVE-2026-71210", "role": "CISA Coordinator", "options": [{"exploitation": "none"}, {"automatable": "no"}, {"technicalImpact": "partial"}], "version": "2.0.3", "timestamp": "2026-08-05T13:22:34.428070Z"}}], "cvssMetricV31": [{"type": "Secondary", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "cvssData": {"scope": "UNCHANGED", "version": "3.1", "baseScore": 5.3, "attackVector": "NETWORK", "baseSeverity": "MEDIUM", "vectorString": "CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N", "integrityImpact": "NONE", "userInteraction": "NONE", "attackComplexity": "HIGH", "availabilityImpact": "NONE", "privilegesRequired": "LOW", "confidentialityImpact": "HIGH"}, "impactScore": 3.6, "exploitabilityScore": 1.6}]}, "affected": [{"source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "affectedData": [{"vendor": "mealie-recipes", "product": "mealie", "versions": [{"status": "affected", "version": "0"}], "programFiles": ["mealie/pkgs/safehttp/transport.py"], "defaultStatus": "unknown"}]}], "published": "2026-08-05T08:16:43.240", "references": [{"url": "https://github.com/mealie-recipes/mealie", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c"}], "vulnStatus": "Deferred", "weaknesses": [{"type": "Secondary", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "description": [{"lang": "en", "value": "CWE-367"}]}], "descriptions": [{"lang": "en", "value": "Mealie's AsyncSafeTransport SSRF guard (mealie/pkgs/safehttp/transport.py) resolves a target hostname once, checks the resolved IP against private-range rules, but then issues the actual outbound HTTP request using the original hostname, which the underlying async transport re-resolves independently."}, {"lang": "es", "value": "El guardi\u00e1n SSRF de AsyncSafeTransport de Mealie (mealie/pkgs/safehttp/transport.py) resuelve un nombre de host objetivo una vez, verifica la IP resuelta contra reglas de rango privado, pero luego emite la solicitud HTTP saliente real usando el nombre de host original, que el transporte as\u00edncrono subyacente vuelve a resolver de forma independiente. Debido a que la IP validada nunca se vincula a la conexi\u00f3n real, un atacante de reencuadernaci\u00f3n DNS (devolviendo una IP p\u00fablica a la b\u00fasqueda de validaci\u00f3n y una IP privada/de metadatos a la conexi\u00f3n real) burla al guardi\u00e1n. Esto es accesible por cualquier usuario autenticado a trav\u00e9s de /api/recipes/create/url, /api/recipes/test-scrape-url, y /api/recipes/{slug}/image, y el raspador refleja el contenido obtenido de vuelta al solicitante, permitiendo a un usuario autenticado leer servicios HTTP internos y puntos finales de metadatos en la nube."}], "lastModified": "2026-10-24T15:10:00.190", "sourceIdentifier": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c"}