CVE-2026-115931
Publiée le 2026-10-23 · Dernière modification le 2026-10-26
Postiz est une plateforme de planification pour les réseaux sociaux qui permet aux utilisateurs de gérer plusieurs canaux depuis un tableau de bord unique. Une faille dans le backend ne restreint pas les fonctions internes qu'un utilisateur connecté peut déclencher via l'interface web. En manipulant les jetons de canaux pour qu'ils servent de chemins de fichiers, les utilisateurs peuvent tromper le système pour l'amener à exécuter des fonctions d'aide conçues exclusivement pour un usage interne au serveur.
Un attaquant peut ainsi lire des fichiers sensibles du serveur, notamment des variables d'environnement contenant des identifiants de base de données et des secrets de session, ou forcer l'arrêt complet du processus. L'auto-inscription étant activée par défaut, toute personne ayant un accès réseau peut créer un compte et exécuter ces attaques sans authentification supplémentaire ni interaction d'un autre utilisateur. Cela entraîne une perte complète de confidentialité, d'intégrité et de disponibilité pour l'instance hébergée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Postiz lets a signed-in user ask the backend to run a function on one of their connected channels. The backend did not restrict which functions can be requested, so a user could call internal helper functions that were never meant to be reachable from the web interface. One of those helpers reads a file from the server's disk. A user who connects a channel whose stored token is a file path can have the backend return the contents of any file it can read, including its environment, which holds the secret used to sign login sessions, the database address and the credentials of connected services. Another helper makes the backend process exit with a single request. Self-registration is open by default, so no existing account and no action by another user is needed.