CVE-2026-59708

Yüksek

Açıklama

ghostfolio'daki GET /api/v1/public/:accessId/portfolio uç noktası, granteeUserId filtrelemesini doğrulamadan özel erişim kimliklerini kabul ederek tam portföy verilerine kimlik doğrulaması yapılmadan erişilmesine izin verir. Özel bir erişim kimliğine sahip saldırganlar; varlıklar, miktarlar, alış fiyatları ve performans metrikleri dahil olmak üzere hassas portföy bilgilerini kimlik doğrulaması olmadan alabilirler.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünGhostfolio

Yayın7 Tem 2026

İlk görülme7 Tem 2026

Zayıflık türüCWE-862Yetki denetimi eksikliği

Nasıl düzeltilir

Yamalar

github.com/ghostfolio/ghostfolio/commit/697ef59e3b58bebc5c21a9e482e4f5643390f316

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
ghostfolio ghostfolio	v ≤ 3.6.0	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.