CVE-2022-51019
WysokieCVSS 8.8Streszczenie
Akaunting przed wersją 2.1.31 zawiera podatność na wstrzykiwanie komend systemu operacyjnego w procesie instalacji i aktualizacji modułów, gdzie parametr alias jest przekazywany bez walidacji do wykonania poleceń powłoki. Uwierzytelnieni użytkownicy z dostępem do panelu administracyjnego mogą wstrzyknąć metaznaki powłoki do parametru alias, aby wykonać dowolne komendy na serwerze.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie serwera przez administratora, co może prowadzić do naruszenia poufności, integralności i dostępności systemu.
Rekomendacja
Zaktualizuj Akaunting do wersji 2.1.31 lub nowszej. Ogranicz dostęp do panelu administracyjnego tylko dla zaufanych użytkowników.
Inne podatności w Akaunting
Zobacz wszystkie- CVE-2026-19198Wysokie
Akaunting 3.1.21 zawiera uwierzytelnioną podatność nieprawidłowej autoryzacji w wspólnym dyspozytorze BulkActions.
- CVE-2026-16772Wysokie
W Akaunting w wersjach do 3.1.21 uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą zmodyfikować swoje konto, przypisując sobie identyfikator roli administratora, co daje pełne uprawnienia administratora. Podatność wynika z błędu w zadaniu UpdateUser, które przetwarza przypisania ról dostarczane przez użytkownika poprzez bezwarunkowe wywołanie roles()->sync() bez weryfikacji uprawnień. Użytkownicy potrzebują tylko domyślnego uprawnienia update-auth-profile, aby uzyskać dostęp do ścieżki samodzielnej aktualizacji i przypisać sobie rolę administratora. API są odpowiednio zabezpieczone i nie są dotknięte. Podatność została naprawiona w wersji 3.2.0.
- CVE-2026-71251Średnie
W Akauntingu trasa pobierania plików (uploads/{id}/download) nie weryfikuje, czy żądany plik należy do firmy zalogowanego klienta. Uwierzytelniony klient portalu może pobrać pliki innych firm, zgadując lub enumerując identyfikatory mediów.
- CVE-2026-11994Średnie
Akaunting w wersji 3.1.21 zawiera podatność na uwierzytelnione przechowywane ataki typu Cross-Site Scripting w procesie zarządzania raportami. Użytkownik z uprawnieniami do tworzenia lub aktualizacji raportów może przechowywać dowolny kod HTML/JavaScript w polu opisu raportu.
- CVE-2026-11943Średnie
Akaunting w wersji 3.1.21 zawiera podatność na przechowywane ataki XSS w dokumentach na stronach szczegółowych faktur i rachunków. Użytkownik z autoryzacją może zapisać kod HTML/JavaScript w swoim imieniu profilu.
- CVE-2026-11942Średnie
Akaunting 3.1.21 zawiera podatność na uwierzytelnione, przechowywane ataki typu cross-site scripting w procesie potwierdzania usunięcia. Użytkownik z uprawnieniami do tworzenia lub modyfikowania rekordów, takich jak przedmioty, może przechowywać HTML/JavaScript w nazwie rekordu.
- CVE-2026-8193Średnie
W Akaunting 3.1.21 zidentyfikowano słabość w komponencie Invoice PDF Rendering w pliku config/dompdf.php. Manipulacja może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-5568Niskie
W Akaunting do wersji 3.1.21 wykryto podatność XSS w komponencie Invoice/Billing poprzez manipulację argumentem notes. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
Akaunting before 2.1.31 contains an OS command injection vulnerability in the module installation and update flow where the alias parameter is passed unvalidated to shell command execution. Authenticated users with admin panel access can inject shell metacharacters into the alias parameter to execute arbitrary commands on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS