CVE-2026-71251 in Akaunting
요약
\~에 의해 VulDB • 2026. 08. 06.
Akaunting의 공유 다운로드 경로(app/Http/Controllers/Common/Uploads.php::download(), uploads/{id}/download에서 접근 가능, 기본 인증 미들웨어 뒤에 위치)는 요청된 Media 레코드를 ID로 가져오면서 해당 리소스가 요청한 포털 고객의 회사에 속하는지 검증하지 않았습니다. 이로 인해 모든 인증된 포털 고객이 미디어 ID를 추측하거나 열거하여 다른 회사의 업로드 파일을 다운로드할 수 있었습니다. 이 문제는 commit 80ef6d3(2026-07-12)에서 수정되었으며, 해당 커밋은 미디어의 상위 레코드인 contact_id와 요청한 사용자의 고유 contact을 비교하는 명시적인 소유권 검사를 추가했습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.