p PatchFirst

CVE-2026-48053

CVE-2026-48053 · Kolibri has Unauthenticated Server-Side Request Forgery (SSRF) in RemoteFacilityUserViewset

This page contains facts from public vulnerability sources. Check the original advisory before updating.

Kolibri is an offline-first education platform. Prior to version 0.19.4, several Kolibri API endpoints accept an unvalidated `baseurl` parameter and fetch attacker-controlled URLs from the Kolibri server, reflecting the response body back to the caller. The original report identified two endpoints on the `RemoteFacilityUser*` viewsets; remediation review found two further reflection points on the same pattern. The GET endpoint was unauthenticated. Version 0.19.4 fixes the vulnerability.

CVSS 5.8 · Medium · EPSS 0.4% · Fix available

Published
Updated

Stack: python

Affected products and versions

  • kolibri

    Versions
    • < 0.19.4: Affected

    No fix published

  • kolibri PyPI

    Versions
    • 0.0.1.dev20160531112859
    • 0.1.1rc2
    • 0.1.1rc3
    • 0.10.0
    • 0.10.1
    • 0.10.2
    • 0.10.3
    • 0.10.3b2
    • 0.10.3b3
    • 0.11.0
    • 0.11.0b2
    • 0.11.1
    • 0.12.0
    • 0.12.0b5
    • 0.12.0b6
    • 0.12.0b7
    • 0.12.0b8
    • 0.12.0b9
    • 0.12.1
    • 0.12.10b3
    • 0.12.2
    • 0.12.3
    • 0.12.3b1
    • 0.12.4
    • 0.12.4b2
    • 0.12.4b3
    • 0.12.4b5
    • 0.12.4b6
    • 0.12.4b7
    • 0.12.4b8
    • 0.12.5
    • 0.12.5b1
    • 0.12.5b2
    • 0.12.6
    • 0.12.6b1
    • 0.12.6b2
    • 0.12.6rc1
    • 0.12.7
    • 0.12.8
    • 0.12.8rc1
    • 0.12.9
    • 0.12.9rc1
    • 0.13.0
    • 0.13.0b2
    • 0.13.0b3
    • 0.13.0b4
    • 0.13.0b5
    • 0.13.0b6
    • 0.13.0b7
    • 0.13.0b8
    • 0.13.1
    • 0.13.1b1
    • 0.13.1b2
    • 0.13.2
    • 0.13.2b1
    • 0.13.3
    • 0.13.3b1
    • 0.13.3rc1
    • 0.14.0
    • 0.14.0b10
    • 0.14.0b3
    • 0.14.0rc1
    • 0.14.1
    • 0.14.2
    • 0.14.3
    • 0.14.4
    • 0.14.4rc1
    • 0.14.5
    • 0.14.6
    • 0.14.7
    • 0.14.8a1
    • 0.14.8a2
    • 0.14.8a4
    • 0.14.8a5
    • 0.14.8a6
    • 0.14.8a7
    • 0.14.8a8
    • 0.15.0
    • 0.15.0b5
    • 0.15.1
    • 0.15.10
    • 0.15.11
    • 0.15.12
    • 0.15.1b1
    • 0.15.2
    • 0.15.3
    • 0.15.4
    • 0.15.5
    • 0.15.6
    • 0.15.7
    • 0.15.8
    • 0.15.9
    • 0.16.0
    • 0.16.1
    • 0.16.2
    • 0.17.0
    • 0.17.1
    • 0.17.2
    • 0.17.3
    • 0.17.4
    • 0.17.5
    • 0.18.0
    • 0.18.1
    • 0.18.2
    • 0.18.3
    • 0.18.4
    • 0.19.0
    • 0.19.1
    • 0.19.2
    • 0.19.3
    • 0.2.0a0
    • 0.2.0a2
    • 0.2.1
    • 0.4.4
    • 0.5.3
    • 0.6.1
    • 0.7.0
    • 0.7.1
    • 0.7.2
    • 0.7.2b2
    • 0.8.0
    • 0.8.0b3
    • 0.8.0b4
    • 0.9.0
    • 0.9.1
    • 0.9.2
    Affected ranges
    • ECOSYSTEM: < 0.19.4

    Update to 0.19.4

Original sources

Check your server →