CVE-2026-19264

सारांश

# Postiz Postiz एक ओपन-सोर्स सोशल मीडिया शेड्यूलिंग टूल है। स्थानीय रूप से संग्रहीत मीडिया को सर्व करने वाला रूट URL से प्राप्त पाथ सेगमेंट्स को अपलोड डायरेक्टरी में जोड़ता है और फ़ाइल को पाथ को नॉर्मलाइज़ किए बिना या उसे उस डायरेक्टरी तक सीमित किए बिना स्ट्रीम करता है, और इस रूट के लिए किसी प्रमाणीकरण की आवश्यकता नहीं होती है। रूटिंग से पहले रॉ डॉट-सेगमेंट्स को हटा दिया जाता है, लेकिन URL-एन्कोडेड सेपरेटर रूट मैचिंग में बच जाते हैं और हैंडलर तक पहुँचने पर ही डिकोड होते हैं, जिससे फाइलसिस्टम कॉल पर ट्रैवर्सल बहाल हो जाता है। इसलिए, एक अनप्रमाणित रिमोट हमलावर एप्लिकेशन प्रक्रिया द्वारा पठनीय किसी भी फ़ाइल को पढ़ सकता है, जिसमें प्रोसेस एनवायरनमेंट भी शामिल है, जो JWT साइनिंग सीक्रेट, डेटाबेस कनेक्शन स्ट्रिंग, और कनेक्टेड प्रोवाइडर तथा बिलिंग सीक्रेट्स को उजागर करता है। चूँकि सत्र टोकन उस सीक्रेट के साथ साइन किए जाते हैं और उनकी कोई समाप्ति नहीं होती, यह किसी भी उपयोगकर्ता, जिसमें एक व्यवस्थापक भी शामिल है, के रूप में बिना पासवर्ड के एक गैर-समाप्त होने वाला सत्र बनाने की अनुमति देता है।

• CVE-2026-19264अनुसंधान

  CVE-2026-19264 - Postiz (< 2.22.1) में गंभीर अनप्रमाणित पाथ ट्रैवर्सल से पूर्ण इंस्टेंस टेकओवर। तकनीकी विवरण: डिकोड-ऑर्डर बायपास, JWT_SECRET एस्केलेशन, और अपस्ट्रीम फिक्स का विश्लेषण।