CVE-2026-57449

Nome do Software Vulnerável e Versões Afetadas Actual Sync Server versões anteriores a 26.7.0

Descrição O proxy CORS no Actual Sync Server permite que usuários autenticados busquem recursos de repositórios em uma lista de permissões oficial de plugins. Quando o ACTUAL GITHUB TOKEN está configurado, o proxy anexa este token às requisições do GitHub. A verificação da lista de permissões utiliza um teste de prefixo startsWith() para o endpoint /repos/{owner}/{repo} sem exigir um limite de caminho após o nome do repositório. Isso permite requisições a URLs da API do GitHub que iniciam com o caminho permitido, mas que estão, na verdade, fora do repositório pretendido. Consequentemente, usuários autenticados podem ler recursos privados do GitHub acessíveis pelo ACTUAL GITHUB TOKEN do servidor.

Recomendações Atualize para a versão 26.7.0.