CVE-2026-46700
Təsvir
Actual lokal öncəlikli şəxsi maliyyə alətidir. 26.6.0 versiyasından əvvəl @actual-app/sync-server daxilindəki GET /secret/:name son nöqtəsi yalnız çağıranın etibarlı sessiyaya malik olub-olmadığını yoxlayır və çağıranın administrator olduğunu təsdiqləmir, halbuki paralel olan POST /secret/ idarəçisi OpenID rejimində administrator yoxlamasını tətbiq edir. OpenID çoxistifadəçili yerləşdirmələrdə hər hansı autentifikasiya olunmuş qeyri-administrator BASIC istifadəçisi sirlər anbarını araşdıra və administrator tərəfindən idarə olunan hansı bank-sinxronizasiya inteqrasiyalarının konfiqurasiya edildiyini öyrənə bilər; bura simplefin_accessKey, pluggyai_clientSecret, pluggyai_itemIds və gocardless sirləri daxildir. Bu problem 26.6.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- @actual-app/sync-server26.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @actual-app/sync-servernpm | v < 26.6.0 | 26.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.