CVE-2026-59709
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Endpoint PUT /api/v1/portfolio/holding/:dataSource/:symbol/tags w Ghostfolio nie weryfikuje pola Access.permissions podczas przetwarzania nagłówka Impersonation-Id, co pozwala użytkownikom z dostępem tylko do odczytu na modyfikowanie tagów portfela. Atakujący z ważnymi tokenami tylko do odczytu mogą przypisywać lub usuwać tagi na holdingach ofiary, zakłócając kategoryzację portfela i raporty.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej modyfikacji danych portfela przez atakującego z dostępem tylko do odczytu, co może prowadzić do błędnej kategoryzacji aktywów i fałszywych raportów, wpływając na decyzje inwestycyjne i integralność systemu.
Rekomendacja
Należy natychmiast zaktualizować Ghostfolio do wersji, która poprawia weryfikację uprawnień w endpointcie PUT /api/v1/portfolio/holding/:dataSource/:symbol/tags, oraz przejrzeć wszystkie aktywne tokeny dostępu tylko do odczytu pod kątem nadużyć.
Oryginalny opis (angielski, źródło NVD)
Ghostfolio's PUT /api/v1/portfolio/holding/:dataSource/:symbol/tags endpoint fails to verify Access.permissions field when processing the Impersonation-Id header, allowing read-only access grantees to modify portfolio holding tags. Attackers with valid read-only share tokens can assign or remove tags on victim holdings, corrupting portfolio categorization and reports.