CVE-2026-42298

Postiz generuje wrażliwe poświadczenia bezpieczeństwa przy użyciu Math.random() zamiast kryptograficznie bezpiecznego źródła. Ten sam mechanizm jest używany dla tokenów dostępu OAuth, kodów autoryzacyjnych, sekretów klienta, kluczy API organizacji oraz weryfikatorów PKCE, przez co zależą one od deterministycznego stanu PRNG xorshift128+ w V8. Nieuwierzytelniony endpoint dynamicznej rejestracji klienta OAuth ujawnia świeżo wygenerowane poświadczenia, co pozwala atakującemu odtworzyć wewnętrzny stan generatora i wyliczyć przeszłe oraz przyszłe wartości.

Postiz, narzędzie do planowania postów w mediach społecznościowych, ma podatność na przechodzenie poza katalog (path traversal) w trasie serwującej lokalnie przechowywane media. Trasa nie wymaga uwierzytelnienia i nie normalizuje ścieżki, co pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnych plików, w tym zmiennych środowiskowych z sekretami JWT i hasłami do baz danych.

Postiz to narzędzie do planowania postów w mediach społecznościowych. W wersjach przed 2.21.8, atakujący mógł wykorzystać lukę w integracji Skool, aby sfałszować sesję SUPERADMIN, co pozwalało na podszywanie się pod dowolne organizacje.

Podatność w narzędziu Postiz do zarządzania mediami społecznościowymi umożliwia niskouprzywilejowanemu kontu przyznanie dowolnej organizacji dożywotniej subskrypcji PRO bez płatności. Problem wynika z braku weryfikacji autentyczności callbacku IPN od Nowpayments oraz odczytywania identyfikatora subskrypcji z niezaufanego żądania.

Postiz to narzędzie do planowania postów w mediach społecznościowych oparte na AI. W wersjach przed 2.21.8 istniał nieautoryzowany punkt końcowy, który akceptował podpisany token i stosował skutki egzekucji subskrypcji bez weryfikacji celu tokena.

Postiz, narzędzie do planowania postów w mediach społecznościowych oparte na AI, w wersjach od 2.21.6 do 2.21.7 pozwala każdemu uwierzytelnionemu użytkownikowi, który może tworzyć posty, na przechowywanie dowolnego kodu HTML w treści posta poprzez manipulację własnym żądaniem zapisu. Publiczny link podglądu /p/<postId>?share=true wysłany innemu użytkownikowi renderuje ten HTML z dangerouslySetInnerHTML na głównej domenie aplikacji.

Postiz to narzędzie do planowania postów w mediach społecznościowych oparte na AI. W wersjach od 2.16.6 do 2.21.6 zabezpieczenia SSRF mają podatność TOCTOU: funkcja isSafePublicHttpsUrl() rozwiązuje DNS w celu walidacji IP, ale późniejsze wywołania fetch() rozwiązują DNS niezależnie. Atakujący kontrolujący serwer DNS może wykorzystać tę lukę przez DNS rebinding, przekierowując żądania do wewnętrznych adresów sieciowych. Problem został naprawiony w wersji 2.21.7.

Postiz przed wersją 2.21.4 zawiera podatność na blind SSRF w endpointcie POST /webhooks/ podczas tworzenia webhooków. Walidacja URL nie blokuje adresów wewnętrznych/prywatnych, co pozwala atakującym na wysyłanie żądań do wewnętrznych usług.

Postiz to narzędzie do planowania mediów społecznościowych oparte na AI. Przed wersją 2.21.3 endpoint GET /public/stream w PublicController akceptuje dostarczony przez użytkownika parametr url i przekazuje pełną odpowiedź HTTP z powrotem do wywołującego. Jedyną walidacją jest url.endsWith('mp4'), co można łatwo ominąć, dodając .mp4 jako wartość parametru zapytania lub fragment URL. Endpoint nie wymaga uwierzytelniania i nie ma ochrony SSRF, co pozwala nieuwierzytelnionemu atakującemu na odczyt odpowiedzi z wewnętrznych usług, punktów końcowych metadanych chmury i innych zasobów wewnątrz sieci.

Postiz przed wersją 2.21.3 w endpointcie POST /public/v1/upload-from-url pobiera URL-e podane przez użytkownika bez zabezpieczeń SSRF. Walidacja tylko rozszerzenia pliku jest łatwa do obejścia. Uwierzytelniony użytkownik może odczytywać wewnętrzne zasoby sieciowe i metadane chmury.