PT-2026-48963 · Unknown · Actual Budget Sync-Server

CVE-2026-42604

·

Publicado

2026-06-12

·

Atualizado

2026-06-13

CVSS v4.0

6.9

Média

VetorAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:U
Nome do Software Vulnerável e Versões Afetadas Actual Budget sync-server versões anteriores a 26.5.0
Descrição O endpoint POST /openid/config expõe a configuração completa do OpenID Connect, que inclui o client secret do OAuth2. Esta informação está acessível a qualquer usuário que possua a senha de bootstrap. Além disso, o endpoint não implementa autenticação ou limitação de taxa (rate limiting), permitindo que a senha de bootstrap seja descoberta por meio de ataques de força bruta.
Recomendações Atualize para a versão 26.5.0.

Exploit

Correção

Incorrect Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-42604
GHSA-49V6-PQJQ-XW55

Produtos afetados

Actual Budget Sync-Server