Към съдържанието
Търсене

CVE-2026-42298: gitroomhq postiz-app, инжекция

10.0

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Postiz is an AI social media scheduling tool. Prior to commit da44801, a "Pwn Request" vulnerability in the Build and Publish PR Docker Image workflow (.github/workflows/pr-docker-build.yml) allows any unauthenticated user to execute arbitrary code during the Docker build process and exfiltrate a highly privileged GITHUB_TOKEN (write-all permissions). This can be achieved simply by opening a Pull Request from a fork with a maliciously modified Dockerfile.dev. This issue has been patched via commit da44801.

Засегнати продукти

  • gitroomhq postiz-app: < da448012dd87e94944cbe83a38e7fd023269ec46

Вид слабост

История

  • 8 май 2026 Публикувано

Други уязвимости в gitroomhq postiz-app

Първоизточници

CVE-2026-42298: gitroomhq postiz-app, инжекция | freedomonline.bg