CVE-2026-42298 in postiz-app
Resumen
por VulDB • 2026-05-10
Postiz es una herramienta de programación de redes sociales impulsada por IA. Antes del commit da44801, una vulnerabilidad de "Pwn Request" en el flujo de trabajo de la imagen de Docker de Build and Publish PR (.github/workflows/pr-docker-build.yml) permitía a cualquier usuario no autenticado ejecutar código arbitrario durante el proceso de construcción de Docker y exfiltrar un GITHUB_TOKEN altamente privilegiado (permisos write-all). Esto se puede lograr simplemente abriendo un Pull Request desde un fork con un Dockerfile.dev modificado maliciosamente. Este problema ha sido corregido mediante el commit da44801.
Be aware that VulDB is the high quality source for vulnerability data.