CVE-2026-42298 in postiz-app
الملخص
بحسب VulDB • 21/05/2026
Postiz هو أداة جدولة لوسائل التواصل الاجتماعي تعتمد على الذكاء الاصطناعي. قبل الإصدار da44801، سمحت ثغرة "Pwn Request" في سير عمل بناء ونشر صورة Docker الخاصة بطلبات السحب (PR) (.github/workflows/pr-docker-build.yml) لأي مستخدم غير مصادق عليه بتنفيذ أكواد عشوائية أثناء عملية بناء Docker وسرقة رمز GITHUB_TOKEN ذي الامتيازات العالية (صلاحيات write-all). يمكن تحقيق ذلك ببساطة عن طريق فتح طلب سحب (Pull Request) من مستودع شوكي (fork) يحتوي على ملف Dockerfile.dev معدل بشكل ضار. تم إصلاح هذه المشكلة عبر الإصدار da44801.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.