CVE-2026-107761
Beschrijving NL
Verschillende Postiz-eindpunten retourneren de volledige databaserij van het record waarop ze werken in plaats van alleen de velden die de klant nodig heeft. Twee daarvan bevatten geheimen die de beller niet mag ontvangen. De kanaalverwijdering van de openbare API retourneert de verwijderde integratierij, inclusief het toegangstoken van het kanaal en het vernieuwingstoken. Een OAuth-app van derden die een kanaal mag verwijderen, ontvangt daarom de inloggegevens van het sociale platform van dat kanaal en kan deze rechtstreeks tegen het verbonden account gebruiken, buiten Postiz. `GET /user/organizations` retourneert elke organisatierij, inclusief de API-sleutel, aan elk lid van de organisatie. De API-sleutel is alleen bedoeld voor beheerders, dus een lid met een lagere rol kan deze verkrijgen en de openbare API namens de organisatie aanroepen. Beide eindpunten vereisen een geldige sessie, API-sleutel of OAuth-token en worden toegewezen aan de eigen organisatie van de beller. Er is geen anonieme toegang en geen blootstelling van meerdere huurders.
Origineel (Engels) tonen
Several Postiz endpoints return the complete database row of the record they operate on instead of only the fields the client needs. Two of them include secrets the caller is not meant to receive.
The public API's channel delete returns the deleted integration row, including the channel's platform access token and refresh token. A third-party OAuth app permitted to delete a channel therefore receives that channel's social platform credentials and can use them against the connected account directly, outside Postiz.
`GET /user/organizations` returns each organization row, including its API key, to every member of the organization. The API key is intended for admins only, so a member with a lower role can obtain it and call the public API on behalf of the organization.
Both endpoints require a valid session, API key or OAuth token and are scoped to the caller's own organization. There is no anonymous access and no cross-tenant exposure.