Unauthenticated Miniflux user can bypass allowed networks check to obtain Prometheus metrics
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Un atacante sin autenticación puede acceder a las métricas de Prometheus en instancias de Miniflux que tienen habilitada la recopilación de métricas, incluso cuando solo deberían estar disponibles localmente. Esto expone información sensible sobre el desempeño y estado interno de la aplicación.
El CVE-2023-27591 explota validación inadecuada de red en el endpoint de métricas de Miniflux, permitiendo acceso no autenticado a métricas Prometheus a pesar de las restricciones de METRICS_ALLOWED_NETWORKS (CWE-1220, CWE-200). La vulnerabilidad afecta versiones anteriores a 2.0.43 cuando METRICS_COLLECTOR está habilitado; el atacante obtiene divulgación no autorizada de información interna de la aplicación sin autenticación.