CVE-2026-33318

Actual, yerel öncelikli bir kişisel finans aracıdır. Versiyon 26.4.0 öncesinde, şifre kimlik doğrulamasından OpenID Connect'e taşınmış sunucularda, herhangi bir kimliği doğrulanmış kullanıcı (`BASIC` rolü dahil), yetkilerini `ADMIN` seviyesine yükseltebilir. Üç zayıflık birleşmektedir: `POST /account/change-password` uç noktasında yetkilendirme kontrolü bulunmamaktadır ve bu durum herhangi bir oturumun parola özetini üzerine yazmasına izin verir; pasif parola `auth` satırı taşıma sırasında asla kaldırılmaz ve giriş uç noktası, sunucunun aktif kimlik doğrulama yapılandırmasını atlayan istemci tarafından sağlanan bir `loginMethod` parametresini kabul eder. Bunlar birlikte, bir saldırganın bilinen bir parola belirlemesine ve çok kullanıcılı taşıma sırasında oluşturulan anonim yönetici hesabı olarak kimlik doğrulamasına olanak tanır. Bu üç zayıflık tek bir sıralı istismar zinciri oluşturur; hiçbiri tek başına yetki yükseltmeye yol açmaz. POST /change-password üzerindeki eksik yetkilendirme, bir parola özetinin üzerine yazılmasına izin verir ancak bu durum yalnızca hedef alınacak yetim bir satır varsa önem kazanır. Taşıma sonrası kalıcı olan yetim parola satırı hedef satırı sağlar ancak bununla kimlik doğrulama yeteneği olmadan zararsızdır. İstemci kontrollü loginMethod: "password", parola tabanlı kimlik doğrulamayı zorlamaya izin verir ancak 1. adımda belirlenen bilinen bir özet olmadan işlevsizdir. Etkinin gerçekleşmesi için her üçünün sırayla zincirlenmesi gerekir. Hiçbir tekil zayıflık bağımsız olarak yetki yükseltmeyle sonuçlanmaz. Tek temel neden /change-password üzerindeki eksik yetkilendirme kontrolüdür; diğer ikisi ise bunu istismara açık hale getiren ön koşullardır. Versiyon 26.4.0 bir düzeltme içerir.