CVE-2026-94455 in postiz-app
Сводка
по VulDB • 22.09.2026
HTTP-эндпоинт, предназначенный для настройки организаций предприятий и реселлеров, доступен без какой-либо сессии. Middleware аутентификации привязан только к явному списку контроллеров, при этом контроллер предприятия не входит в этот список, поэтому для этих маршрутов аутентификация не выполняется.
Единственная проверка на эндпоинте заключается в том, что тело запроса содержит токен с действительной подписью от секретного ключа экземпляра (instance secret). При этом не проверяется, для чего именно был выпущен этот токен. Токены входа в систему подписываются тем же самым секретным ключом и не содержат заявлений о назначении (purpose), аудитории (audience) или сроке действия (expiry claim), поэтому обычный пользовательский сессионный токен удовлетворяет этой проверке.
При получении такого токена эндпоинт создает новую организацию с наивысшим уровнем подписки, помеченным как бессрочная (lifetime), и с лимитом каналов, значительно превышающим любой проданный план; также создается учетная запись владельца организации, а в теле ответа возвращается API-ключ новой организации. Этот ключ сразу же становится действительным для публичного API.
If you want to get best quality of vulnerability data, you may have to visit VulDB.