CVE-2026-115933
Beschrijving NL
Postiz ondertekent zijn tokens voor sessies, uitnodigingen en het opnieuw instellen van wachtwoorden met één gedeeld geheim en zonder markering van waar een token voor is. Een route die de inloggegevens van een browser-uitbreidingskanaal vernieuwt, ondertekende gegevens uit het verzoek zelf haalt en het resultaat opslaat waar de verzoekende gebruiker het kan teruglezen. Een gebruiker kan daarom een geldig ondertekend token verkrijgen met alle claims die hij kiest, die de applicatie accepteert als een sessie, als een organisatie-uitnodiging met een gekozen rol, als een wachtwoordreset of als een enterprise provisioning token. Een tweede, smallere route die teamuitnodigingen maakt, ondertekent op dezelfde manier extra velden van de aanvraaginstantie.
Origineel (Engels) tonen
Postiz signs its session, invitation and password reset tokens with one shared secret and without any marker of what a token is for. A route that refreshes the credentials of a browser-extension channel signed data taken from the request itself and stored the result where the requesting user can read it back. A user could therefore obtain a validly signed token containing any claims they choose, which the application accepts as a session, as an organization invitation with a chosen role, as a password reset or as an enterprise provisioning token.
A second, narrower route that creates team invitations signs extra fields from the request body in the same way.