CVE-2026-115932
Beschrijving NL
Wanneer een bericht wordt gepubliceerd, behandelt Postiz een mediapad dat geen webadres is als een bestand op de schijf van de server, maar controleert het niet of het bestand zich in de uploadmap bevindt. Een geregistreerde gebruiker kan een bewerkt mediapad met een bericht opslaan, het voorbij de controles krijgen die het normaal beperken, en de uitgever een willekeurig bestand laten lezen en het als bijlage verzenden naar een Discord-server die de gebruiker beheert. Dezelfde onbeperkte uitlezingen kunnen via twee verdere routes worden bereikt. De ene vertelt de beller of een bestand bestaat en kan het geheugen van de backend uitputten, de andere levert het bestand op dezelfde manier af als de hoofdroute. Zelfregistratie is standaard geopend, dus de aanvaller heeft geen bestaand account nodig.
Origineel (Engels) tonen
When a post is published, Postiz treats a media path that is not a web address as a file on the server's disk, but it does not check that the file lies inside the upload directory. A registered user can store a crafted media path with a post, get it past the checks that normally restrict it, and have the publishing worker read an arbitrary file and send it as an attachment to a Discord server the user controls.
The same unconfined reads can be reached through two further routes. One tells the caller whether a file exists and can exhaust the backend's memory, the other delivers the file the same way as the main route. Self-registration is open by default, so the attacker needs no existing account.