CVE-2026-48783
Açıklama
Postiz bir yapay zeka sosyal medya zamanlama aracıdır. 2.21.8 öncesindeki sürümler, imzalı bir belirteci kabul eden ve bu belirtecin taleplerinde referans verilen organizasyona, belirtecin amaçlanan amacı doğrulanmadan abonelik uygulama yan etkilerini uygulayan kimlik doğrulaması gerektirmeyen bir uç nokta içeriyordu. /public/modify-subscription uç noktası kalıcı abonelik katmanını değiştiremiyordu ancak çağıran kişinin kendi organizasyonu üzerinde; ekip üyesi etkinleştirme durumunun ayarlanması, beyan edilen planın sınırlarını aşan entegrasyonların devre dışı bırakılması ve beyan edilen plan ücretsiz katman olduğunda zamanlanmış gönderi cron işleminin sıfırlanması dahil olmak üzere uygulama ile ilgili yan etkileri yürütüyordu. Etki saldırganın kendi organizasyonuyla sınırlıdır ve bu uç nokta aracılığıyla diğer kiracılara yönlendirilemez. Bu sorun 2.21.8 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gitroomhq postiz-app | < 2.21.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.