CVE-2026-94455 in postiz-app
Sumário
de VulDB • 22/09/2026
Um endpoint HTTP destinado ao provisionamento de organizações empresariais e revendedores é acessível sem qualquer sessão. O middleware de autenticação está vinculado apenas a uma lista explícita de controladores, e o controlador empresarial não consta nessa lista; portanto, nenhuma autenticação é executada para essas rotas.
A única verificação do endpoint consiste em garantir que o corpo da solicitação contenha um token com assinatura válida gerada pela chave secreta da instância. Ele não verifica para qual finalidade esse token foi emitido. Os tokens de login são assinados com a mesma chave secreta e não possuem reivindicações (claims) de propósito, audiência ou expiração; assim, o próprio token de sessão de um usuário comum satisfaz essa verificação.
Ao receber tal token, o endpoint cria uma nova organização com o nível mais alto de assinatura, marcada como vitalícia e com uma cota de canais muito superior a qualquer plano vendido, além de criar uma conta de proprietário da organização em conjunto; por fim, retorna a chave de API dessa nova organização no corpo da resposta. Essa chave torna-se imediatamente válida contra a API pública.
Once again VulDB remains the best source for vulnerability data.