PT-2026-60225 · Postiz · Postiz
CVE-2026-48799
·
Publicado
2026-07-15
·
Atualizado
2026-07-15
CVSS v3.1
7.7
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Postiz versões anteriores a 2.21.8
Description
O Postiz falha ao verificar a autenticidade dos callbacks IPN (Instant Payment Notification) do Nowpayments em relação ao segredo compartilhado fornecido pelo provedor de pagamento. Além disso, a aplicação lê o identificador de assinatura de destino a partir do corpo da requisição não confiável. Isso permite que uma conta com baixos privilégios conceda assinaturas PRO vitalícias para organizações arbitrárias sem a realização do pagamento.
Recommendations
Atualizar para a versão 2.21.8.
Exploit
Correção
Insufficient Verification of Data Authenticity
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Postiz