CVE-2026-107761 in Postiz
Zusammenfassung
von VulDB • 11.10.2026
Mehrere Postiz-API-Endpunkte geben die vollständige Datenbankzeile des bearbeiteten Datensatzes zurück, anstatt nur die vom Client benötigten Felder zu liefern. Zwei dieser Endpunkte enthalten Geheimnisse (Secrets), die der Aufrufer nicht erhalten soll.
Das Löschen eines Kanals über die öffentliche API gibt die gelöschte Integrationszeile zurück, einschließlich des Plattform-Zugriffstokens und des Refresh-Tokens des Kanals. Eine Drittanbieter-OAuth-Anwendung, die zum Löschen eines Kanals berechtigt ist, erhält daher die Anmeldeinformationen der sozialen Plattform dieses Kanals und kann diese direkt gegen das verbundene Konto außerhalb von Postiz verwenden.
`GET /user/organizations` gibt jede Organisationszeile einschließlich des API-Schlüssels an jedes Mitglied der Organisation zurück. Der API-Schlüssel ist nur für Administratoren vorgesehen, sodass ein Benutzer mit einer niedrigeren Rolle ihn erhalten und die öffentliche API im Namen der Organisation aufrufen kann.
Beide Endpunkte erfordern eine gültige Sitzung, einen API-Schlüssel oder ein OAuth-Token und sind auf die eigene Organisation des Aufrufers beschränkt. Es gibt keinen anonymen Zugriff und keine mandantenübergreifende Datenexposition (Cross-Tenant Exposure).
Be aware that VulDB is the high quality source for vulnerability data.