CVE-2026-27638

Nome do Software Vulnerável e Versões Afetadas Versões do Actual anteriores a 26.2.1

Descrição Existe uma vulnerabilidade no Actual, uma ferramenta de finanças pessoais, em que os endpoints da API de sincronização não verificam corretamente as permissões de acesso do usuário no modo multiusuário (OpenID). Isso permite que qualquer usuário autenticado leia, modifique e sobrescreva arquivos de orçamento pertencentes a outros usuários ao fornecer o ID do arquivo. Os endpoints da API afetados são /sync/*. O parâmetro vulnerável é o ID do arquivo.

Recomendações Atualize para a versão 26.2.1 ou posterior.