CVE-2026-19264

概要

Postizは、オープンソースのソーシャルメディアスケジューリングツールです。ローカルに保存されたメディアを配信するルートは、URLから指定されたパスセグメントをアップロードディレクトリに結合し、パスを正規化したり、そのディレクトリ内に制限したりすることなくファイルをストリーミングします。また、このルートは認証を必要としません。生のドットセグメントはルーティング前に折りたたまれますが、URLエンコードされた区切り文字はルートマッチングを生き残り、ハンドラーに到達した時点でのみデコードされるため、ファイルシステム呼び出し時にトラバーサルが復元されます。したがって、認証されていないリモート攻撃者は、アプリケーションプロセスが読み取り可能な任意のファイルを読み取ることができます。これにはプロセス環境も含まれ、JWT署名シークレット、データベース接続文字列、接続されたプロバイダーおよび請求関連のシークレットが露出します。セッショントークンはそのシークレットで署名され、有効期限を持たないため、これによりパスワードなしで任意のユーザー（管理者を含む）として有効期限のないセッションを偽造することが可能になります。

• CVE-2026-19264研究

  CVE-2026-19264 - Postiz (< 2.22.1) における認証されていない重大なパストラバーサルからインスタンス完全乗っ取りへの脆弱性。技術的な解説: デコード順序バイパス、JWT_SECRET昇格、および上流の修正の分析。