CVE-2026-57449 in Actual
要約
〜によって VulDB • 2026年09月26日
Actual はローカルファーストの個人向けファイナンスツールです。バージョン 26.7.0 より前では、Actual Sync Server の CORS プロキシは、認証済みユーザーが公式プラグインの許可リストに記載されたリポジトリからのみリソースを取得できるように意図されています。`ACTUAL_GITHUB_TOKEN` が設定されている場合、プロキシは GitHub リクエストに対して自動的にサーバーの GitHub トークンを付与します。GitHub API に対する許可リストチェックでは、リポジトリ名の後にパス区切り文字を必要とせず、`/repos/{owner}/{repo}` に対する生の `startsWith()` プレフィックステストが使用されています。もし許可された公開プラグインリポジトリが `https://github.com/acme/plugin` の場合、プロキシは `/repos/acme/plugin` で始まる API パスを持つ GitHub API URL も受け入れます。これらの URL は許可リストに記載されたリポジトリの範囲外ですが、パスの先頭一致により通過してしまいます。その後、プロキシはサーバーの `ACTUAL_GITHUB_TOKEN` を付与してリクエストを転送するため、そのトークンでアクセス可能なプライベートな GitHub リソースを、認証済み Actual ユーザーであれば誰でも読み取ることが可能になります。この問題はバージョン 26.7.0 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.