PT-2026-68117

CVE-2026-71251

·

Publicado

2026-08-05

·

Atualizado

2026-08-10

Descrição por

CVSS 3.1
6.5
Média
MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas Akaunting (versões afetadas não especificadas)
Description Existe uma Referência Direta Insegura a Objeto (IDOR) na rota de download compartilhada. A função download() em app/Http/Controllers/Common/Uploads.php, acessível através do endpoint uploads/{id}/download, não verifica se o registro de Mídia solicitado pertence à empresa do cliente do portal solicitante. Isso permite que qualquer cliente do portal autenticado faça o download de arquivos enviados por outras empresas ao adivinhar ou enumerar a variável id.
Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-639: Authorization Bypass Through User-Controlled Key
Identificadores relacionados
CVE-2026-71251
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com