CVE-2026-107761
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Kilka punktów końcowych Postiz zwraca pełny wiersz bazy danych zawierający rekord, na którym działają, a nie tylko pola potrzebne klientowi. Dwa z nich zawierają tajemnice, których rozmówca nie powinien otrzymać.
Usunięcie kanału publicznego interfejsu API zwraca usunięty wiersz integracji, w tym token dostępu do platformy kanału i token odświeżania. Aplikacja OAuth innej firmy, która może usunąć kanał, otrzymuje zatem dane logowania do platformy społecznościowej tego kanału i może ich używać bezpośrednio w odniesieniu do połączonego konta, poza Postiz.
`GET /user/organizations` zwraca każdy wiersz organizacji, łącznie z kluczem API, każdemu członkowi organizacji. Klucz API jest przeznaczony tylko dla administratorów, więc członek z niższą rolą może go uzyskać i wywołać publiczny interfejs API w imieniu organizacji.
Obydwa punkty końcowe wymagają prawidłowej sesji, klucza API lub tokenu OAuth i są ograniczone do własnej organizacji dzwoniącego. Nie ma anonimowego dostępu ani ekspozycji między najemcami.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org