Podatności Ghostfolio
3 znanych podatności CVE w Ghostfolio, przetłumaczonych i ocenionych.
- CVE-2026-47127Średnie
Ghostfolio, oprogramowanie do zarządzania majątkiem, przed wersją 3.4.0 ma podatność w handlerze sukcesu Stripe checkout, który przyznaje subskrypcję Premium bez sprawdzania statusu płatności. Każdy uwierzytelniony użytkownik może samodzielnie przyznać sobie roczną subskrypcję Premium bez płacenia. Poprawka w wersji 3.4.0.
- CVE-2026-59708Wysokie
Endpoint GET /api/v1/public/:accessId/portfolio w Ghostfolio nie weryfikuje filtrowania granteeUserId, co pozwala nieuwierzytelnionym atakującym na dostęp do pełnych danych portfela za pomocą prywatnego identyfikatora dostępu.
- CVE-2026-59709Średnie
Endpoint PUT /api/v1/portfolio/holding/:dataSource/:symbol/tags w Ghostfolio nie weryfikuje pola Access.permissions podczas przetwarzania nagłówka Impersonation-Id, co pozwala użytkownikom z dostępem tylko do odczytu na modyfikowanie tagów portfela. Atakujący z ważnymi tokenami tylko do odczytu mogą przypisywać lub usuwać tagi na holdingach ofiary, zakłócając kategoryzację portfela i raporty.