CVE-2026-59708
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Endpoint GET /api/v1/public/:accessId/portfolio w Ghostfolio nie weryfikuje filtrowania granteeUserId, co pozwala nieuwierzytelnionym atakującym na dostęp do pełnych danych portfela za pomocą prywatnego identyfikatora dostępu.
Ocena ryzyka
Organizacja narażona jest na wyciek wrażliwych informacji finansowych, takich jak stany posiadania, ilości, ceny zakupu i wskaźniki wydajności, co może prowadzić do strat finansowych i utraty zaufania klientów.
Rekomendacja
Należy natychmiast zaktualizować Ghostfolio do najnowszej wersji, która implementuje poprawną walidację granteeUserId, oraz ograniczyć dostęp do endpointu tylko dla uwierzytelnionych użytkowników.
Inne podatności w Ghostfolio
Zobacz wszystkie- CVE-2026-47127Średnie
Ghostfolio, oprogramowanie do zarządzania majątkiem, przed wersją 3.4.0 ma podatność w handlerze sukcesu Stripe checkout, który przyznaje subskrypcję Premium bez sprawdzania statusu płatności. Każdy uwierzytelniony użytkownik może samodzielnie przyznać sobie roczną subskrypcję Premium bez płacenia. Poprawka w wersji 3.4.0.
- CVE-2026-59709Średnie
Endpoint PUT /api/v1/portfolio/holding/:dataSource/:symbol/tags w Ghostfolio nie weryfikuje pola Access.permissions podczas przetwarzania nagłówka Impersonation-Id, co pozwala użytkownikom z dostępem tylko do odczytu na modyfikowanie tagów portfela. Atakujący z ważnymi tokenami tylko do odczytu mogą przypisywać lub usuwać tagi na holdingach ofiary, zakłócając kategoryzację portfela i raporty.
Oryginalny opis (angielski, źródło NVD)
The GET /api/v1/public/:accessId/portfolio endpoint in ghostfolio accepts private access IDs without validating granteeUserId filtering, allowing unauthenticated access to full portfolio data. Attackers with a private access ID can retrieve sensitive portfolio information including holdings, quantities, buy prices, and performance metrics without authentication.