Podatności ezBookkeeping
3 znanych podatności CVE w ezBookkeeping, przetłumaczonych i ocenionych.
- CVE-2026-86041Średnie
ezBookkeeping tworzy router Gin za pomocą gin.New() bez konfiguracji SetTrustedProxies, przez co c.ClientIP() ufa sfałszowanej wartości X-Forwarded-For. Nieuwierzytelniony zdalny atakujący może podać adres z listy dozwolonych, aby ominąć bramkę mcp_allowed_remote_ips lub api_token_allowed_remote_ips. Do chronionych akcji nadal wymagany jest ważny token MCP lub API, ale sfałszowana wartość jest zapisywana w Transaction.CreatedIp i logach, przypisując aktywność zaufanemu hostowi.
- CVE-2026-105131Średnie
ezBookkeeping 1.2.0 przed wersją 2.0.1 zawiera podatność eskalacji uprawnień, która pozwala atakującym posiadającym token API uzyskać pełny token sesji poprzez /api/v1/tokens/refresh.json. Ponieważ TokenRefreshHandler nigdy nie sprawdza typu tokenu, atakujący mogą wymienić krótkotrwałe lub ograniczone do IP tokeny API na 30-dniowe normalne tokeny sesji, które omijają wygaśnięcie tokenu API i listy dozwolonych.
- CVE-2026-94112Średnie
mayswind ezBookkeeping przed wersją 2.0.0 nie unieważnia kodów TOTP po ich użyciu, co pozwala atakującym na powtórne użycie przechwyconych kodów w oknie akceptacji. Atakujący ze skradzionymi poświadczeniami mogą się uwierzytelnić i ponownie użyć przechwyconego kodu w wielu próbach autoryzacji przez około 90 sekund bez wykrycia.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS