CVE-2026-57449 in Actual
الملخص
بحسب VulDB • 26/09/2026
Actual هو أداة مالية شخصية تركز على العمل المحلي (local-first). قبل الإصدار 26.7.0، كان وكيل CORS الخاص بخادم مزامنة Actual (Actual Sync Server) مُصمماً للسماح للمستخدمين المصادق عليهم بجلب الموارد فقط من المستودعات المدرجة في القائمة البيضاء الرسمية للملحقات الإضافية (plugin allowlist). عند تكوين `ACTUAL_GITHUB_TOKEN`، يضيف الوكيل تلقائياً رمز GitHub الخاص بالخادم إلى طلبات GitHub. تعتمد قائمة السماح الخاصة بواجهة برمجة تطبيقات GitHub على اختبار بادئة خام باستخدام دالة `startsWith()` للمسار `/repos/{owner}/{repo}` دون اشتراط وجود حد مسار (path boundary) بعد اسم المستودع. إذا كان مستودع الملحق العام المدرج في القائمة البيضاء هو `https://github.com/acme/plugin`، فإن الوكيل يقبل أيضاً عناوين URL لواجهة برمجة تطبيقات GitHub. هذه العناوين تقع خارج نطاق المستودعات المدرجة في القائمة البيضاء ولكنها تمرر الفحص لأن مسار واجهة التطبيقات الخاصة بها يبدأ بـ `/repos/acme/plugin`. يقوم الوكيل بعد ذلك بإعادة توجيه الطلب مع استخدام `ACTUAL_GITHUB_TOKEN` الخاص بالخادم، مما يسمح لأي مستخدم Actual مُصادق عليه بقراءة موارد GitHub الخاصة التي يمكن الوصول إليها باستخدام هذا الرمز. يُصلح الإصدار 26.7.0 هذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.