CVE-2026-3089
Orta
Təsvir
Actual Sync Server autentifikasiya olunmuş istifadəçilərə POST /sync/upload-user-file vasitəsilə faylların yüklənilməsinə icazə verir. 26.3.0 versiyasından əvvəlki versiyalarda, istifadəçi tərəfindən idarə olunan x-actual-file-id başlığının (header) düzgün şəkildə yoxlanılmaması o deməkdir ki, keçid seqmentləri (../) təyin edilmiş kataloqdan çıxa və faylları userFiles kataloqundan kənara yaza bilər. Bu problem Actual Sync Server-in 26.3.0 versiyasından əvvəlki versiyalarına təsir edir.
CiddilikOrta
CVSS6.5
İstismar ehtimalı36. faiz dərəcəsi0,4%
MəhsulActual
Dərc9 mar 2026
İlk görülmə9 mar 2026
Zəiflik növüCWE-22Kataloq keçidi (path traversal)
Necə düzəltmək olar
Yeniləyin
- actualbudget actual26.3.0 və ya daha yeni versiya
- @actual-app/sync-server26.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| actualbudget actual | v < 26.3.0 | 26.3.0 |
| @actual-app/sync-servernpm | v < 26.3.0 | 26.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.