CVE-2026-27584
Açıklama
Actual, yerel öncelikli bir kişisel finans aracıdır. Versiyon 26.2.1 öncesinde, ActualBudget sunucu bileşenindeki eksik kimlik doğrulama ara yazılımı, herhangi bir kimlik doğrulaması yapmamış kullanıcının SimpleFIN ve Pluggy.ai entegrasyon uç noktalarını sorgulamasına ve hassas banka hesap bakiyesi ile işlem bilgilerini okumasına olanak tanır. Bu güvenlik açığı, kimliği doğrulanmamış bir saldırganın ActualBudget kullanıcılarının banka hesap bakiyelerini ve işlem geçmişlerini okumasına izin verir. Bu durum, SimpleFIN veya Pluggy.ai entegrasyonları yapılandırılmış tüm ActualBudget Sunucu kullanıcılarını etkilemektedir. ActualBudget Sunucu örneğinin ağ üzerinden erişilebilir olması gerekir. Versiyon 26.2.1 bu sorunu gidermektedir.
Nasıl düzeltilir
- actualbudget actual26.2.1 ya da sonraki bir sürüm
- @actual-app/sync-server26.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| actualbudget actual | v < 26.2.1 | 26.2.1 |
| @actual-app/sync-servernpm | v < 26.2.1 | 26.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.