CVE-2026-115931

Nome do Software Vulnerável e Versões Afetadas Postiz (versões afetadas não especificadas)

Descrição O Postiz permite que usuários autenticados solicitem que o backend execute funções em canais conectados sem restringir quais funções podem ser chamadas. Isso permite que usuários acionem funções auxiliares internas que não deveriam estar acessíveis via interface web. Uma dessas funções permite a leitura de arquivos arbitrários no disco do servidor se um canal for conectado utilizando um caminho de arquivo como token, expondo potencialmente variáveis de ambiente, segredos de assinatura de sessão, endereços de banco de dados e credenciais de serviços. Além disso, outra função auxiliar pode ser utilizada para forçar o encerramento do processo do backend, causando a interrupção do serviço. Como o auto-cadastro está habilitado por padrão, essas ações podem ser realizadas por qualquer usuário recém-registrado.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.