CVE-2026-16772
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W Akaunting w wersjach do 3.1.21 uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą zmodyfikować swoje konto, przypisując sobie identyfikator roli administratora, co daje pełne uprawnienia administratora. Podatność wynika z błędu w zadaniu UpdateUser, które przetwarza przypisania ról dostarczane przez użytkownika poprzez bezwarunkowe wywołanie roles()->sync() bez weryfikacji uprawnień. Użytkownicy potrzebują tylko domyślnego uprawnienia update-auth-profile, aby uzyskać dostęp do ścieżki samodzielnej aktualizacji i przypisać sobie rolę administratora. API są odpowiednio zabezpieczone i nie są dotknięte. Podatność została naprawiona w wersji 3.2.0.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień do poziomu administratora przez zwykłych użytkowników, co może prowadzić do pełnego przejęcia kontroli nad systemem Akaunting.
Rekomendacja
Należy natychmiast zaktualizować Akaunting do wersji 3.2.0 lub nowszej oraz sprawdzić konta użytkowników pod kątem nieautoryzowanych zmian ról.
Inne podatności w Akaunting
Zobacz wszystkie- CVE-2022-51019Wysokie
Akaunting przed wersją 2.1.31 zawiera podatność na wstrzykiwanie komend systemu operacyjnego w procesie instalacji i aktualizacji modułów, gdzie parametr alias jest przekazywany bez walidacji do wykonania poleceń powłoki. Uwierzytelnieni użytkownicy z dostępem do panelu administracyjnego mogą wstrzyknąć metaznaki powłoki do parametru alias, aby wykonać dowolne komendy na serwerze.
- CVE-2026-19198Wysokie
Akaunting 3.1.21 zawiera uwierzytelnioną podatność nieprawidłowej autoryzacji w wspólnym dyspozytorze BulkActions.
- CVE-2026-71251Średnie
W Akauntingu trasa pobierania plików (uploads/{id}/download) nie weryfikuje, czy żądany plik należy do firmy zalogowanego klienta. Uwierzytelniony klient portalu może pobrać pliki innych firm, zgadując lub enumerując identyfikatory mediów.
- CVE-2026-11994Średnie
Akaunting w wersji 3.1.21 zawiera podatność na uwierzytelnione przechowywane ataki typu Cross-Site Scripting w procesie zarządzania raportami. Użytkownik z uprawnieniami do tworzenia lub aktualizacji raportów może przechowywać dowolny kod HTML/JavaScript w polu opisu raportu.
- CVE-2026-11943Średnie
Akaunting w wersji 3.1.21 zawiera podatność na przechowywane ataki XSS w dokumentach na stronach szczegółowych faktur i rachunków. Użytkownik z autoryzacją może zapisać kod HTML/JavaScript w swoim imieniu profilu.
- CVE-2026-11942Średnie
Akaunting 3.1.21 zawiera podatność na uwierzytelnione, przechowywane ataki typu cross-site scripting w procesie potwierdzania usunięcia. Użytkownik z uprawnieniami do tworzenia lub modyfikowania rekordów, takich jak przedmioty, może przechowywać HTML/JavaScript w nazwie rekordu.
- CVE-2026-8193Średnie
W Akaunting 3.1.21 zidentyfikowano słabość w komponencie Invoice PDF Rendering w pliku config/dompdf.php. Manipulacja może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-5568Niskie
W Akaunting do wersji 3.1.21 wykryto podatność XSS w komponencie Invoice/Billing poprzez manipulację argumentem notes. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
In Akaunting versions <= 3.1.21, low‑privileged authenticated users can modify their own account to assign themselves the admin role ID, granting full administrator privileges. This vulnerability is caused by a flaw in the `UpdateUser` job, which processes user-supplied role assignments via an unconditional `roles()->sync()` call without verifying whether the caller is authorized to manage roles. Users only require the default `update-auth-profile` permission to access the self-update path and assign themselves as admins. The API endpoints are properly permission‑gated and are not affected by this issue. This vulnerability has been remediated in v3.2.0, commit 80ef6d3b154a.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS