CVE-2026-115933
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- —
- CWE
- CWE-290
- KEV Durumu
- Hayır
Yayım tarihi: 24 Ekim 2026
Postiz, oturum, davetiye ve parola sıfırlama tokenlerini bir paylaşılan sır ile imzalar ve bir tokenin ne için olduğunu gösteren hiçbir işaret bulunmaz. Tarayıcı uzantısı kanalının kimlik bilgilerini yenileyen bir yol, istekten alınan ve depolanan imzalı verileri kendi içinde depolar ve sonuç, isteği yapan kullanıcı tarafından okunabilir. Böylece bir kullanıcı, herhangi bir iddia içeren geçerli bir şekilde imzalanmış token elde edebilir ve bu token uygulamada bir oturum, seçilen bir rolle bir organizasyon davetiyesi, parola sıfırlama veya bir entreprise sağlama tokeni olarak kabul edilir. İkinci, daha dar bir yol, takım davetlerini oluşturur ve istek gövdesinden ek alanları aynı şekilde imzalar.
Orijinal açıklama (İngilizce)
Postiz signs its session, invitation and password reset tokens with one shared secret and without any marker of what a token is for. A route that refreshes the credentials of a browser-extension channel signed data taken from the request itself and stored the result where the requesting user can read it back. A user could therefore obtain a validly signed token containing any claims they choose, which the application accepts as a session, as an organization invitation with a chosen role, as a password reset or as an enterprise provisioning token. A second, narrower route that creates team invitations signs extra fields from the request body in the same way.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.