CVE-2026-115933
Publiée le 2026-10-24 · Dernière modification le 2026-10-26
Postiz est un outil open-source de programmation de publications pour les réseaux sociaux. La faille provient du fait que l'application utilise un secret partagé unique pour signer différents types de jetons de sécurité — tels que les cookies de session, les réinitialisations de mots de passe et les invitations — sans préciser la nature de chacun d'entre eux. Une fonctionnalité spécifique destinée au rafraîchissement des identifiants d'extensions de navigateur permet à un utilisateur de soumettre des données personnalisées que le serveur signe ensuite et renvoie.
Un attaquant disposant d'un compte utilisateur standard peut utiliser ce mécanisme de signature pour forger des jetons à hauts privilèges, notamment ceux pour les sessions administratives ou les réinitialisations de mots de passe. Cela octroie un contrôle total sur l'application, compromettant la confidentialité, l'intégrité et la disponibilité de toutes les données du serveur. L'attaque est facile à exécuter via un réseau et ne nécessite qu'une authentification utilisateur basique, sans aucune interaction de la part d'un tiers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Postiz signs its session, invitation and password reset tokens with one shared secret and without any marker of what a token is for. A route that refreshes the credentials of a browser-extension channel signed data taken from the request itself and stored the result where the requesting user can read it back. A user could therefore obtain a validly signed token containing any claims they choose, which the application accepts as a session, as an organization invitation with a chosen role, as a password reset or as an enterprise provisioning token. A second, narrower route that creates team invitations signs extra fields from the request body in the same way.