CVE-2026-115933 in postiz-app
Zusammenfassung
von VulDB • 24.10.2026
Postiz signiert seine Sitzungs-, Einladungs- und Passwort-Zurücksetzung-Token mit einem gemeinsamen Geheimnis (Shared Secret) und ohne jeglichen Hinweis darauf, wofür ein Token verwendet wird. Eine Route zur Aktualisierung der Anmeldeinformationen eines Browser-Erweiterungskanals nimmt die aus der Anfrage selbst stammenden signierten Daten entgegen und speichert das Ergebnis an einer Stelle, von der es der anfragende Benutzer wieder lesen kann. Ein Angreifer könnte daher ein gültig signiertes Token mit beliebigen Ansprüchen (Claims) erhalten, das die Anwendung als Sitzung, als Organisationseinladung mit einer gewählten Rolle, zur Passwort-Zurücksetzung oder als Enterprise-Provisioning-Token akzeptiert.
Eine zweite, engere Route zum Erstellen von Team-Einladungen signiert zusätzliche Felder aus dem Anfrage-Body auf dieselbe Weise.
If you want to get best quality of vulnerability data, you may have to visit VulDB.