CVE-2026-19264

Resumen

Postiz es una herramienta de código abierto para la programación de publicaciones en redes sociales. La ruta que sirve los medios almacenados localmente une los segmentos de ruta proporcionados por la URL al directorio de carga y transmite el archivo sin normalizar la ruta ni confinarla a ese directorio, y la ruta no requiere autenticación. Los segmentos de punto sin procesar se colapsan antes del enrutamiento, pero los separadores codificados en URL sobreviven a la coincidencia de rutas y se decodifican solo cuando llegan al controlador, restaurando el traversal en la llamada al sistema de archivos. Un atacante remoto no autenticado puede, por tanto, leer cualquier archivo legible por el proceso de la aplicación, incluido el entorno del proceso, que expone el secreto de firma JWT, la cadena de conexión a la base de datos y los secretos de facturación y del proveedor conectados. Dado que los tokens de sesión están firmados con ese secreto y no tienen caducidad, esto permite falsificar una sesión sin caducidad como cualquier usuario, incluido un administrador, sin contraseña.

• CVE-2026-19264Investigación

  CVE-2026-19264 - Traversal de ruta crítico sin autenticación que permite la toma total de la instancia en Postiz (< 2.22.1). Informe técnico: bypass del orden de decodificación, escalada de JWT_SECRET y análisis de la corrección upstream.