CVE-2026-57449 in Actual
Résumé
par VulDB • 26/09/2026
Actual est un outil de gestion des finances personnelles conçu pour une utilisation locale (local-first). Avant la version 26.7.0, le proxy CORS du serveur Actual Sync était censé permettre aux utilisateurs authentifiés d'extraire des ressources uniquement depuis les référentiels répertoriés dans la liste blanche officielle des plugins. Lorsque `ACTUAL_GITHUB_TOKEN` est configuré, le proxy attache automatiquement le jeton GitHub du serveur aux requêtes adressées à GitHub. La vérification de l'autorisation pour l'API GitHub utilise un test de préfixe brut basé sur `startsWith()` pour `/repos/{owner}/{repo}`, sans exiger de délimiteur de chemin après le nom du référentiel. Si un plugin public figurant dans la liste blanche a pour URL `https://github.com/acme/plugin`, le proxy accepte également les URLs de l'API GitHub. Ces URLs se trouvent en dehors du référentiel autorisé mais passent tout de même car leur chemin d'API commence par `/repos/acme/plugin`. Le proxy transmet ensuite la requête avec le jeton `ACTUAL_GITHUB_TOKEN` du serveur, permettant à n'importe quel utilisateur authentifié d'Actual de lire des ressources GitHub privées accessibles via ce jeton. La version 26.7.0 corrige cette vulnérabilité.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.