CVE-2026-46700

Actual, yerel öncelikli bir kişisel finans aracıdır. 26.6.0 sürümünden önce, @actual-app/sync-server içerisindeki GET /secret/:name uç noktası yalnızca çağrının geçerli bir oturuma sahip olduğunu kontrol eder ve çağrıyı yapan kişinin yönetici olup olmadığını doğrulamaz; buna karşın kardeş POST /secret/ işleyicisi OpenID modunda yönetici kontrolü uygular. OpenID çok kullanıcılı dağıtımlardaki herhangi bir kimliği doğrulanmış yönetici olmayan BASIC kullanıcısı, sır deposunu sorgulayabilir ve simplefin_accessKey, pluggyai_clientSecret, pluggyai_itemIds ve gocardless sırları dahil olmak üzere hangi yönetici tarafından yönetilen banka senkronizasyon entegrasyonlarının yapılandırıldığını öğrenebilir. Bu sorun 26.6.0 sürümünde düzeltilmiştir.