CVE-2026-19264

Resumo

Postiz é uma ferramenta de agendamento de mídias sociais de código aberto. A rota que serve mídias armazenadas localmente concatena segmentos de caminho fornecidos pela URL ao diretório de upload e transmite o arquivo sem normalizar o caminho ou confiná-lo a esse diretório, e a rota não exige autenticação. Segmentos de ponto bruto são colapsados antes do roteamento, mas separadores codificados por URL sobrevivem à correspondência de rota e são decodificados apenas quando chegam ao manipulador, restaurando a travessia na chamada ao sistema de arquivos. Um atacante remoto não autenticado pode, portanto, ler qualquer arquivo legível pelo processo da aplicação, incluindo o ambiente do processo, que expõe o segredo de assinatura JWT, a string de conexão do banco de dados e os segredos do provedor e de cobrança conectados. Como os tokens de sessão são assinados com esse segredo e não possuem expiração, isso permite forjar uma sessão sem expiração como qualquer usuário, incluindo um administrador, sem senha.

Fontes

• CVE-2026-19264Pesquisa

  CVE-2026-19264 - Travessia de caminho crítica não autenticada para assumir completamente a instância no Postiz (< 2.22.1). Análise técnica: bypass da ordem de decodificação, escalonamento de JWT_SECRET e análise da correção upstream.