CVE-2026-115931
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Postiz pozwala zalogowanemu użytkownikowi poprosić backend o uruchomienie funkcji na jednym z połączonych kanałów. Backend nie ograniczał tego, jakich funkcji można żądać, więc użytkownik mógł wywołać wewnętrzne funkcje pomocnicze, które nigdy nie miały być dostępne z interfejsu internetowego.
Jeden z tych pomocników odczytuje plik z dysku serwera. Użytkownik łączący się z kanałem, którego przechowywanym tokenem jest ścieżka do pliku, może poprosić backend o zwrócenie zawartości dowolnego pliku, który może odczytać, łącznie z jego środowiskiem, które przechowuje sekret używany do podpisywania sesji logowania, adres bazy danych i poświadczenia połączonych usług. Inny pomocnik powoduje zakończenie procesu zaplecza za pomocą jednego żądania. Samodzielna rejestracja jest domyślnie otwarta, więc nie jest potrzebne żadne istniejące konto ani żadne działanie innego użytkownika.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org