CVE-2026-57449

Actual yerli-birinci şəxsi maliyyə alətidir. 26.7.0 versiyasından əvvəl Actual Sync Server-in CORS proksisi autentifikasiya olunmuş istifadəçilərə resursları yalnız rəsmi plagin icazə siyahısında göstərilən repozitoriyalardan götürməyə imkan vermək üçün nəzərdə tutulub. `ACTUAL_GITHUB_TOKEN` konfiqurasiya edildikdə, proksi avtomatik olaraq serverin GitHub tokenini GitHub sorğularına əlavə edir. GitHub API icazə siyahısının yoxlanılması prosesində `/repos/{owner}/{repo}` üçün repozitoriya adından sonra yol sərhədini tələb etmədən sadə bir `startsWith()` prefiks testi istifadə olunur. Əgər icazə verilmiş açıq plagin repozitoriyası `https://github.com/acme/plugin` olarsa, proksi həmçinin müvafiq GitHub API URL-lərini də qəbul edir. Bu URL-lər icazə verilmiş repozitoriyanın xaricində olsa da, API yolları `/repos/acme/plugin` ilə başladığı üçün yoxlamadan keçirlər. Daha sonra proksi sorğunu serverin `ACTUAL_GITHUB_TOKEN`-i ilə yönləndirir və bu, hər hansı autentifikasiya olunmuş Actual istifadəçisinə həmin token vasitəsilə əlçatan olan gizli GitHub resurslarını oxumağa imkan verir. 26.7.0 versiyası bu problemi aradan qaldırır.