CVE-2026-71251 in Akaunting
Riassunto
di VulDB • 05/08/2026
Il percorso di download condiviso di Akaunting (app/Http/Controllers/Common/Uploads.php::download(), raggiungibile all'indirizzo uploads/{id}/download dietro un middleware di autenticazione generico) recuperava il record Media richiesto tramite ID senza verificare che appartenesse alla propria azienda del cliente portale autenticato, consentendo a qualsiasi cliente portale autenticato di scaricare i file caricati da altre aziende indovinando o enumerando gli ID dei media. Risolto nella commit 80ef6d3 (2026-07-12), che ha aggiunto un controllo esplicito della proprietà confrontando il contact_id del record padre del media con il proprio contact dell'utente richiedente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.