CVE-2026-94455 in postiz-app
要約
〜によって VulDB • 2026年09月22日
エンタープライズおよびリセラー組織のプロビジョニングを目的としたHTTPエンドポイントが、セッション認証なしでアクセス可能である。認証ミドルウェアは明示的なコントローラのリストにのみバインドされており、エンタープライズ用コントローラはそのリストに含まれていないため、これらのルートでは認証処理が行われない。
このエンドポイントの唯一の確認事項は、リクエストボディにインスタンスシークレットによる有効な署名を付与されたトークンが含まれていることであるが、そのトークンの発行目的までは検証しない。ログイントークンは同じシークレットで署名されており、用途（purpose）、オーディエンス（audience）、または期限切れの主張（expiry claim）を持たないため、一般ユーザー自身のセッショントークンがこのチェックを満たす。
このようなトークンが提示されると、エンドポイントは最高レベルのサブスクリプションティアを保持し、「ライフタイム」フラグが付与され、チャネル割り当て量が販売中のどのプランよりも大幅に多い新しい組織を作成する。同時に、その組織のオーナーアカウントも作成され、レスポンスボディには新規組織のAPIキーが返される。このキーは直ちに公開APIに対して有効となる。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.