CVE-2026-19264

Riepilogo

Postiz è uno strumento open-source per la pianificazione dei contenuti sui social media. La rotta che serve i media memorizzati localmente unisce i segmenti di percorso forniti tramite URL alla directory di upload e trasmette il file senza normalizzare il percorso né confinarlo a quella directory, e la rotta non richiede autenticazione. I segmenti punto grezzi vengono eliminati prima del routing, ma i separatori codificati nell'URL sopravvivono al matching delle rotte e vengono decodificati solo quando raggiungono l'handler, ripristinando il traversal nella chiamata al filesystem. Un attaccante remoto non autenticato può quindi leggere qualsiasi file leggibile dal processo dell'applicazione, incluso l'ambiente del processo, che espone il segreto di firma JWT, la stringa di connessione al database e i segreti di provider e fatturazione collegati. Poiché i token di sessione sono firmati con quel segreto e non hanno scadenza, ciò consente di forgiare una sessione senza scadenza come qualsiasi utente, incluso un amministratore, senza password.

• CVE-2026-19264Ricerca

  CVE-2026-19264 - Path traversal critico non autenticato fino alla compromissione completa dell'istanza in Postiz (< 2.22.1). Writeup tecnico: bypass dell'ordine di decodifica, escalation di JWT_SECRET e analisi della correzione a monte.