Blog

Status: Fixed in v1.14.0-alpha
Fixed by: PR #1497
Discovered by: Anatolij Vasilev (tolik518)
Last vulnerable version/state: v1.13.0-alpha / main@ba18ec20d332069db4e1c187f28191fb0d9ef2ed
Disclosure status: Reported to maintainers before publication
CVE: pending / not assigned

---

0. Summary

Anyone with an account on any AT Protocol server can access HTTP servers on localhost of the tangled instance. The root cause is that the knotmirror proxy trusts a user-supplied field (knot) from an AT Protocol record as a literal URL, then makes an outbound HTTP GET to it from the mirror server itself.

By pointing that field (for example) at http://127.0.0.1:7200/repos, the server fetches its own unauthenticated internal admin panel and returns the response to the attacker. That way the attacker can access any internal HTTP services like Admin panels, Grafana dashboards or any other service that is not protected by authentication but only by network isolation.

Confirmed via limited proof-of-concept test against production on 2026-05-08. No destructive actions were performed. Accessed data contained…

Read Post →

Ich wollte schon seit längerem wieder einen Post schreiben und eigentlich wollte ich ja mal öfter was posten. Aber dadurch das der Blog hier noch halbfertig ist, schiebe ich das ständig vor mich hin. Ich hab den Source-Code aber auf Github veröffentlich. Also wer Bugs findet, muss die nicht für sich behalten :)

In den letzten Tagen hab ich mich ein Bisschen mit C beschäftigt. Genauer genommen mit GBAProgramming. Ich wollte mich schon seit Ewigkeiten damit beschäftigen aber der Einstieg sah für mich immer so kompliziert aus, weswegen ich nie damit angefangen hab. Vor über 10 Jahren hab ich mich schon in der Pokémon ROM-Hacking-Szene bewegt und hatte immer Lust was eigenes zu machen — damals konnte ich aber noch nicht wirklich programmieren.

In meiner Ausbildung hab ich mich zuletzt viel mit Docker auseinandergesetzt, also kam mir die Idee das ich doch die ganze GBA Entwicklungsumgebung — DevkitARM/libgba/libtonc — ja gar nicht auf meiner lokalen Maschine installieren muss, sondern ganz einfach containerisieren kann! Dann hätte ich weniger Probleme mit den ganzen Dependencies und…

Read Post →