CVE-2026-41644

Wysokie

Opublikowano: 07/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W aplikacji monetr, przed wersją 1.12.5, występowała podatność typu server-side request forgery (SSRF) w integracji Lunch Flow. Umożliwiało to każdemu uwierzytelnionemu użytkownikowi na samodzielnie hostowanej instancji wysyłanie żądań HTTP GET do dowolnych adresów URL, co skutkowało zwracaniem treści odpowiedzi z nieprawidłowych odpowiedzi w komunikatach błędów API.

Ocena ryzyka

Podatność ta może prowadzić do ujawnienia wrażliwych informacji lub umożliwić atakującym manipulację danymi w systemie. Organizacje powinny być świadome ryzyka związanego z nieautoryzowanym dostępem do zasobów wewnętrznych.

Rekomendacja

Zaleca się aktualizację aplikacji monetr do wersji 1.12.5 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa w celu oceny potencjalnych zagrożeń.

Inne podatności w monetr

CVE-2026-39901Średnie
monetr przed wersją 1.12.3 ma lukę w integralności transakcji, która pozwala uwierzytelnionemu użytkownikowi na miękkie usunięcie zsynchronizowanych transakcji nie-ręcznych poprzez endpoint aktualizacji transakcji, mimo że aplikacja blokuje ich usuwanie normalną ścieżką DELETE. Obejście to ukrywa chronione transakcje przed normalnymi widokami.

Oryginalny opis (angielski, źródło NVD)

monetr is a budgeting application for recurring expenses. Prior to version 1.12.5, a server-side request forgery (SSRF) vulnerability in monetr's Lunch Flow integration allowed any authenticated user on a self-hosted instance to cause the monetr server to issue HTTP GET requests to arbitrary URLs supplied by the caller, with the response body from non-200 upstream responses reflected back in the API error message. This issue has been patched in version 1.12.5.