CVE-2026-42298
Açıklama
Postiz bir yapay zeka sosyal medya planlama aracıdır. da44801 commit'inden önce, Build and Publish PR Docker Image iş akışındaki (.github/workflows/pr-docker-build.yml) bir "Pwn Request" güvenlik açığı, herhangi bir kimlik doğrulaması yapmamış kullanıcının Docker derleme işlemi sırasında rastgele kod çalıştırmasına ve yüksek yetkili bir GITHUB_TOKEN'ı (yazma-tümü izinleri) sızdırmasına olanak tanır. Bu durum, kötü amaçlı olarak değiştirilmiş bir Dockerfile.dev içeren bir fork üzerinden basitçe bir Pull Request açılarak gerçekleştirilebilir. Bu sorun da44801 commit'i ile düzeltilmiştir.
Nasıl düzeltilir
- gitroom postiz2.21.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gitroom postiz | v < 2.21.7 | 2.21.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.