CVE-2026-71251
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W Akauntingu trasa pobierania plików (uploads/{id}/download) nie weryfikuje, czy żądany plik należy do firmy zalogowanego klienta. Uwierzytelniony klient portalu może pobrać pliki innych firm, zgadując lub enumerując identyfikatory mediów.
Ocena ryzyka
Ujawnienie poufnych plików innych firm może prowadzić do wycieku danych i naruszenia prywatności.
Rekomendacja
Zaimplementuj weryfikację własności zasobu przed udostępnieniem pliku oraz rozważ dodanie kontroli dostępu opartej na kontekście firmy.
Inne podatności w Akaunting
Zobacz wszystkie- CVE-2026-19198Wysokie
Akaunting 3.1.21 zawiera uwierzytelnioną podatność nieprawidłowej autoryzacji w wspólnym dyspozytorze BulkActions.
- CVE-2026-16772Wysokie
W Akaunting w wersjach do 3.1.21 uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą zmodyfikować swoje konto, przypisując sobie identyfikator roli administratora, co daje pełne uprawnienia administratora. Podatność wynika z błędu w zadaniu `UpdateUser`, które przetwarza przypisania ról dostarczane przez użytkownika poprzez bezwarunkowe wywołanie `roles()->sync()` bez weryfikacji, czy wywołujący jest uprawniony do zarządzania rolami. Użytkownicy potrzebują tylko domyślnego uprawnienia `update-auth-profile`, aby uzyskać dostęp do ścieżki samodzielnej aktualizacji i przypisać sobie rolę administratora. Punkty końcowe API są odpowiednio zabezpieczone i nie są dotknięte tym problemem.
- CVE-2026-11994Średnie
Akaunting w wersji 3.1.21 zawiera podatność na uwierzytelnione przechowywane ataki typu Cross-Site Scripting w procesie zarządzania raportami. Użytkownik z uprawnieniami do tworzenia lub aktualizacji raportów może przechowywać dowolny kod HTML/JavaScript w polu opisu raportu.
- CVE-2026-11943Średnie
Akaunting w wersji 3.1.21 zawiera podatność na przechowywane ataki XSS w dokumentach na stronach szczegółowych faktur i rachunków. Użytkownik z autoryzacją może zapisać kod HTML/JavaScript w swoim imieniu profilu.
- CVE-2026-11942Średnie
Akaunting 3.1.21 zawiera podatność na uwierzytelnione, przechowywane ataki typu cross-site scripting w procesie potwierdzania usunięcia. Użytkownik z uprawnieniami do tworzenia lub modyfikowania rekordów, takich jak przedmioty, może przechowywać HTML/JavaScript w nazwie rekordu.
- CVE-2026-8193Średnie
W Akaunting 3.1.21 zidentyfikowano słabość w komponencie Invoice PDF Rendering w pliku config/dompdf.php. Manipulacja może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-5568Niskie
W Akaunting do wersji 3.1.21 wykryto podatność XSS w komponencie Invoice/Billing poprzez manipulację argumentem notes. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
Akaunting's shared download route (app/Http/Controllers/Common/Uploads.php::download, reachable at uploads/{id}/download behind only generic auth middleware) fetched the requested Media record by ID with no verification that it belonged to the requesting portal customer's own company, allowing any authenticated portal customer to download any other company's uploaded files by guessing or enumerating media IDs.