CVE-2026-94456

Postiz kriptoqrafik cəhətdən təhlükəsiz mənbə əvəzinə `Math.random()` funksiyasından istifadə edərək təhlükəsizlik baxımından həssas etibarnamələr yaradır. Eyni köməkçi funksiya OAuth giriş tokenləri, avtorizasiya kodları, müştəri sirləri (client secrets), təşkilat API açarları və PKCE yoxlayıcıları üçün istifadə olunur, bu isə sözügedən etibarnamələrin tamamilə V8-in deterministik xorshift128+ PRNG vəziyyətindən asılı olduğu anlamına gəlir. Autentifikasiya olunmamış OAuth dinamik müştəri qeydiyyatı son nöqtəsi yeni yaradılmış müştəri etibarnamələrini açıqlayır ki, bu da hücumçulara daxili vəziyyəti bərpa etmək üçün kifayət qədər ardıcıl PRNG çıxışı verir. Bərpa edildikdən sonra onlar eyni generator tərəfindən istehsal olunan keçmiş və gələcək dəyərləri deterministik şəkildə əldə edə bilərlər ki, bu da digər istifadəçilərə və təşkilatlara məxsus etibarnamələrin kompromisə düşməsinə səbəb ola bilər.