CVE-2026-57449 in Actual
요약
\~에 의해 VulDB • 2026. 09. 26.
Actual은 로컬 우선의 개인 재무 관리 도구입니다. 버전 26.7.0 이전, Actual Sync Server의 CORS 프록시는 인증된 사용자가 공식 플러그인 허용 목록에 나열된 저장소에서만 리소스를 가져오도록 의도되었습니다. `ACTUAL_GITHUB_TOKEN`이 구성된 경우, 프록시는 GitHub 요청에 서버의 GitHub 토큰을 자동으로 첨부합니다. GitHub API 허용 목록 확인은 `/repos/{owner}/{repo}` 접두사에 대해 raw `startsWith()` prefix 테스트를 사용하며 저장소 이름 뒤에 경로 경계(path boundary)가 필요한지 여부를 검증하지 않습니다. 만약 허용된 공개 플러그인 저장소가 `https://github.com/acme/plugin`인 경우, 프록시는 GitHub API URL도 수락합니다. 이러한 URL은 허용 목록에 있는 저장소 외부에 위치하지만, API 경로가 `/repos/acme/plugin`으로 시작하기 때문에 통과됩니다. 이후 프록서는 서버의 `ACTUAL_GITHUB_TOKEN`을 사용하여 요청을 전달하므로, 해당 토큰으로 접근 가능한 모든 비공개 GitHub 리소스를 읽을 수 있게 되어 인증된 Actual 사용자는 이를 이용할 수 있습니다. 버전 26.7.0에서 이 문제가 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.