CVE-2026-19264

ملخص

بوستيز (Postiz) هي أداة مفتوحة المصدر لجدولة المحتوى على وسائل التواصل الاجتماعي. المسار الذي يقدّم الوسائط المخزّنة محلياً يدمج مقاطع المسار المقدَّمة عبر عنوان URL مع دليل الرفع ويبث الملف دون تطبيع المسار أو حصره داخل ذلك الدليل، ولا يتطلب هذا المسار أي مصادقة. يتم ضغط مقاطع النقاط الخام قبل التوجيه، لكن الفواصل المشفّرة بعنوان URL تنجو من مطابقة المسار ولا يتم فك ترميزها إلا عند وصولها إلى المعالج، مما يعيد استعادة اجتياز المسار عند استدعاء نظام الملفات. وبالتالي، يمكن لمهاجم بعيد غير مصادَق قراءة أي ملف يمكن قراءته بواسطة عملية التطبيق، بما في ذلك بيئة العملية، التي تكشف سر توقيع JWT وسلسلة اتصال قاعدة البيانات وأسرار مزوّد الخدمة والفوترة المتصلة. ولأن رموز الجلسة موقّعة بذلك السر ولا تحمل تاريخ انتهاء، فإن هذا يسمح بتزوير جلسة غير منتهية الصلاحية لأي مستخدم، بما في ذلك مسؤول، دون الحاجة إلى كلمة مرور.

• CVE-2026-19264البحث

  CVE-2026-19264 - ثغرة حرجة لتجاوز المسار دون مصادقة تؤدي إلى السيطرة الكاملة على المثيل في Postiz (< 2.22.1). توثيق تقني: تجاوز ترتيب فك التشفير، تصعيد JWT_SECRET، وتحليل الإصلاح من المصدر العلوي.