CVE-2026-42556

Kilka endpointów Postiz zwraca pełny wiersz bazy danych rekordu, na którym operuje, zamiast tylko pól potrzebnych klientowi. Dwa z nich zawierają sekrety, których wywołujący nie powinien otrzymywać: publiczne API usuwania kanału zwraca token dostępu i token odświeżania platformy, a GET /user/organizations zwraca klucz API organizacji każdemu członkowi. Oba endpointy wymagają ważnej sesji, klucza API lub tokenu OAuth i są ograniczone do organizacji wywołującego.

Postiz generuje wrażliwe poświadczenia bezpieczeństwa przy użyciu Math.random() zamiast kryptograficznie bezpiecznego źródła. Ten sam mechanizm jest używany dla tokenów dostępu OAuth, kodów autoryzacyjnych, sekretów klienta, kluczy API organizacji oraz weryfikatorów PKCE, przez co zależą one od deterministycznego stanu PRNG xorshift128+ w V8. Nieuwierzytelniony endpoint dynamicznej rejestracji klienta OAuth ujawnia świeżo wygenerowane poświadczenia, co pozwala atakującemu odtworzyć wewnętrzny stan generatora i wyliczyć przeszłe oraz przyszłe wartości.

Postiz, narzędzie do planowania postów w mediach społecznościowych, ma podatność na przechodzenie poza katalog (path traversal) w trasie serwującej lokalnie przechowywane media. Trasa nie wymaga uwierzytelnienia i nie normalizuje ścieżki, co pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnych plików, w tym zmiennych środowiskowych z sekretami JWT i hasłami do baz danych.

Postiz to narzędzie do planowania postów w mediach społecznościowych. W wersjach przed 2.21.8, atakujący mógł wykorzystać lukę w integracji Skool, aby sfałszować sesję SUPERADMIN, co pozwalało na podszywanie się pod dowolne organizacje.

Postiz, narzędzie do planowania postów w mediach społecznościowych, przed commitem da44801 zawiera podatność typu "Pwn Request" w workflow Docker Build and Publish PR. Każdy nieuwierzytelniony użytkownik może wykonać dowolny kod podczas procesu budowania Dockera i wycieknąć wysoko uprzywilejowany token GITHUB_TOKEN (uprawnienia write-all) poprzez otwarcie Pull Requesta z fork'a ze zmodyfikowanym plikiem Dockerfile.dev.

Podatność w narzędziu Postiz do zarządzania mediami społecznościowymi umożliwia niskouprzywilejowanemu kontu przyznanie dowolnej organizacji dożywotniej subskrypcji PRO bez płatności. Problem wynika z braku weryfikacji autentyczności callbacku IPN od Nowpayments oraz odczytywania identyfikatora subskrypcji z niezaufanego żądania.

Postiz to narzędzie do planowania postów w mediach społecznościowych oparte na AI. W wersjach przed 2.21.8 istniał nieautoryzowany punkt końcowy, który akceptował podpisany token i stosował skutki egzekucji subskrypcji bez weryfikacji celu tokena.

Postiz to narzędzie do planowania postów w mediach społecznościowych oparte na AI. W wersjach od 2.16.6 do 2.21.6 zabezpieczenia SSRF mają podatność TOCTOU: funkcja isSafePublicHttpsUrl() rozwiązuje DNS w celu walidacji IP, ale późniejsze wywołania fetch() rozwiązują DNS niezależnie. Atakujący kontrolujący serwer DNS może wykorzystać tę lukę przez DNS rebinding, przekierowując żądania do wewnętrznych adresów sieciowych. Problem został naprawiony w wersji 2.21.7.

Postiz przed wersją 2.21.4 zawiera podatność na blind SSRF w endpointcie POST /webhooks/ podczas tworzenia webhooków. Walidacja URL nie blokuje adresów wewnętrznych/prywatnych, co pozwala atakującym na wysyłanie żądań do wewnętrznych usług.

Postiz to narzędzie do planowania mediów społecznościowych oparte na AI. Przed wersją 2.21.3 endpoint GET /public/stream w PublicController akceptuje dostarczony przez użytkownika parametr url i przekazuje pełną odpowiedź HTTP z powrotem do wywołującego. Jedyną walidacją jest url.endsWith('mp4'), co można łatwo ominąć, dodając .mp4 jako wartość parametru zapytania lub fragment URL. Endpoint nie wymaga uwierzytelniania i nie ma ochrony SSRF, co pozwala nieuwierzytelnionemu atakującemu na odczyt odpowiedzi z wewnętrznych usług, punktów końcowych metadanych chmury i innych zasobów wewnątrz sieci.