CVE-2026-3089
Orta
Açıklama
Actual Sync Server, kimliği doğrulanmış kullanıcıların POST /sync/upload-user-file üzerinden dosya yüklemesine izin verir. 26.3.0 öncesindeki sürümlerde, kullanıcı kontrollü x-actual-file-id başlığının uygun şekilde doğrulanmaması, dizin gezginleme segmentlerinin (../) hedeflenen dizinden çıkmasına ve userFiles dışında dosya yazılmasına neden olur. Bu sorun, Actual Sync Server'ın 26.3.0 öncesindeki sürümlerini etkilemektedir.
ÖnemOrta
CVSS6.5
İstismar olasılığı36. yüzdelik%0,4
ÜrünActual
Yayın9 Mar 2026
İlk görülme9 Mar 2026
Zayıflık türüCWE-22Dizin geçişi (path traversal)
Nasıl düzeltilir
Güncelleyin
- actualbudget actual26.3.0 ya da sonraki bir sürüm
- @actual-app/sync-server26.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| actualbudget actual | v < 26.3.0 | 26.3.0 |
| @actual-app/sync-servernpm | v < 26.3.0 | 26.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.