CVE-2026-34577
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Postiz to narzędzie do planowania mediów społecznościowych oparte na AI. Przed wersją 2.21.3 endpoint GET /public/stream w PublicController akceptuje dostarczony przez użytkownika parametr url i przekazuje pełną odpowiedź HTTP z powrotem do wywołującego. Jedyną walidacją jest url.endsWith('mp4'), co można łatwo ominąć, dodając .mp4 jako wartość parametru zapytania lub fragment URL. Endpoint nie wymaga uwierzytelniania i nie ma ochrony SSRF, co pozwala nieuwierzytelnionemu atakującemu na odczyt odpowiedzi z wewnętrznych usług, punktów końcowych metadanych chmury i innych zasobów wewnątrz sieci.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do wewnętrznych usług i danych, takich jak metadane chmury, co może prowadzić do wycieku wrażliwych informacji i dalszych ataków na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację Postiz do wersji 2.21.3 lub nowszej, która zawiera poprawkę.
Inne podatności w Postiz
Zobacz wszystkie- CVE-2026-19264Krytyczne
Postiz, narzędzie do planowania postów w mediach społecznościowych, ma podatność na przechodzenie poza katalog (path traversal) w trasie serwującej lokalnie przechowywane media. Trasa nie wymaga uwierzytelnienia i nie normalizuje ścieżki, co pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnych plików, w tym zmiennych środowiskowych z sekretami JWT i hasłami do baz danych.
- CVE-2026-48781Krytyczne
Postiz to narzędzie do planowania postów w mediach społecznościowych. W wersjach przed 2.21.8, atakujący mógł wykorzystać lukę w integracji Skool, aby sfałszować sesję SUPERADMIN, co pozwalało na podszywanie się pod dowolne organizacje.
- CVE-2026-42298Krytyczne
Postiz, narzędzie do planowania postów w mediach społecznościowych, przed commitem da44801 zawiera podatność typu "Pwn Request" w workflow Docker Build and Publish PR. Każdy nieuwierzytelniony użytkownik może wykonać dowolny kod podczas procesu budowania Dockera i wycieknąć wysoko uprzywilejowany token GITHUB_TOKEN (uprawnienia write-all) poprzez otwarcie Pull Requesta z fork'a ze zmodyfikowanym plikiem Dockerfile.dev.
- CVE-2026-48799Wysokie
Podatność w narzędziu Postiz do zarządzania mediami społecznościowymi umożliwia niskouprzywilejowanemu kontu przyznanie dowolnej organizacji dożywotniej subskrypcji PRO bez płatności. Problem wynika z braku weryfikacji autentyczności callbacku IPN od Nowpayments oraz odczytywania identyfikatora subskrypcji z niezaufanego żądania.
- CVE-2026-48783Średnie
Postiz to narzędzie do planowania postów w mediach społecznościowych oparte na AI. W wersjach przed 2.21.8 istniał nieautoryzowany punkt końcowy, który akceptował podpisany token i stosował skutki egzekucji subskrypcji bez weryfikacji celu tokena.
- CVE-2026-42556Wysokie
Postiz, narzędzie do planowania postów w mediach społecznościowych oparte na AI, w wersjach od 2.21.6 do 2.21.7 pozwala każdemu uwierzytelnionemu użytkownikowi, który może tworzyć posty, na przechowywanie dowolnego kodu HTML w treści posta poprzez manipulację własnym żądaniem zapisu. Publiczny link podglądu /p/<postId>?share=true wysłany innemu użytkownikowi renderuje ten HTML z dangerouslySetInnerHTML na głównej domenie aplikacji.
- CVE-2026-42346Średnie
Postiz to narzędzie do planowania postów w mediach społecznościowych oparte na AI. W wersjach od 2.16.6 do 2.21.6 zabezpieczenia SSRF mają podatność TOCTOU: funkcja isSafePublicHttpsUrl() rozwiązuje DNS w celu walidacji IP, ale późniejsze wywołania fetch() rozwiązują DNS niezależnie. Atakujący kontrolujący serwer DNS może wykorzystać tę lukę przez DNS rebinding, przekierowując żądania do wewnętrznych adresów sieciowych. Problem został naprawiony w wersji 2.21.7.
- CVE-2026-34590Średnie
Postiz przed wersją 2.21.4 zawiera podatność na blind SSRF w endpointcie POST /webhooks/ podczas tworzenia webhooków. Walidacja URL nie blokuje adresów wewnętrznych/prywatnych, co pozwala atakującym na wysyłanie żądań do wewnętrznych usług.
- CVE-2026-34576Wysokie
Postiz przed wersją 2.21.3 w endpointcie POST /public/v1/upload-from-url pobiera URL-e podane przez użytkownika bez zabezpieczeń SSRF. Walidacja tylko rozszerzenia pliku jest łatwa do obejścia. Uwierzytelniony użytkownik może odczytywać wewnętrzne zasoby sieciowe i metadane chmury.
Oryginalny opis (angielski, źródło NVD)
Postiz is an AI social media scheduling tool. Prior to version 2.21.3, the GET /public/stream endpoint in PublicController accepts a user-supplied url query parameter and proxies the full HTTP response back to the caller. The only validation is url.endsWith('mp4'), which is trivially bypassable by appending .mp4 as a query parameter value or URL fragment. The endpoint requires no authentication and has no SSRF protections, allowing an unauthenticated attacker to read responses from internal services, cloud metadata endpoints, and other network-internal resources. This issue has been patched in version 2.21.3.