CVE-2026-16772

Nome do Software Vulnerável e Versões Afetadas Akaunting versões anteriores a 3.1.22

Descrição Usuários autenticados com baixos privilégios podem elevar seus privilégios para administrador total ao modificar a própria conta. Isso ocorre devido a uma falha no job UpdateUser, que utiliza uma chamada roles()->sync() incondicional para processar atribuições de funções sem verificar se o usuário está autorizado a gerenciar funções. Um invasor precisa apenas da permissão padrão update-auth-profile para acessar o caminho de autoatualização e atribuir a si mesmo o ID da função de administrador.

Recomendações Atualize para uma versão posterior à 3.1.21.