CVE-2026-33318

Actual lokal öncəlikli fərdi maliyyə alətidir. Versiya 26.4.0-dan əvvəl, şifrə autentifikasiyasından OpenID Connect-ə keçid etmiş serverlərdə hər hansı autentifikasiya olunmuş istifadəçi (`BASIC` rolu daxil olmaqla) imtiyazlarını `ADMIN` səviyyəsinə yüksəldə bilər. Üç zəiflik birləşir: `POST /account/change-password` sorğusunda avtorizasiya yoxlaması yoxdur və bu, hər hansı sessiyanın şifrə heşini yenidən yazmasına imkan verir; miqrasiya zamanı qeyri-aktiv şifrə `auth` sətiri heç vaxt silinmir; və giriş nöqtəsi (endpoint), serverin aktiv autentifikasiya konfiqurasiyasını yan keçən, klient tərəfindən təmin edilən `loginMethod`-u qəbul edir. Bunlar birlikdə hücumçuya məlum bir şifrə təyin etməyə və çoxistifadəçili miqrasiya zamanı yaradılmış anonim admin hesabı kimi autentifikasiyadan keçməyə imkan verir. Bu üç zəiflik tək bir ardıcıl eksployt zəncirini təşkil edir — heç biri təkbaşına imtiyazların yüksəldilməsinə səbəb olmur. POST /change-password ünvanında avtorizasiyanın olmaması şifrə heşinin yenidən yazılmasına imkan verir, lakin bu yalnız hədəf seçiləcək kənar qalmış sətir olduqda əhəmiyyət kəsb edir. Miqrasiyadan sonra qalan kənar şifrə sətiri hədəf sətirini təmin edir, lakin ondan istifadə edərək autentifikasiya etmək imkanı olmadan zərərsizdir. Klient tərəfindən idarə olunan loginMethod: "password" şifrə əsaslı autentifikasiyanı məcburi etməyə imkan verir, lakin birinci addımda müəyyən edilmiş məlum heş olmadan faydasızdır. Təsirə nail olmaq üçün hər üçü ardıcıllıqla zəncirlənməlidir. Heç bir tək zəiflik müstəqil olaraq imtiyazların yüksəldilməsi ilə nəticələnmir. Yeganə kök səbəb /change-password ünvanındakı avtorizasiya yoxlamasının olmamasıdır; digər ikisi isə onu eksployt edilə bilən edən ilkin şərtlərdir. Versiya 26.4.0 düzəlişi ehtiva edir.