Postiz выпустил обновление после двух критических уязвимостей
Проект Postiz 24 октября выпустил версию 2.25.3 с исправлениями двух критических уязвимостей. Релиз опубликован в 14:16 UTC, а в его примечании разработчики рекомендуют всем пользователям обновиться немедленно. Обе проблемы исправлены именно в этой версии.
Первая уязвимость, CVE-2026-115932, связана с обходом проверки путей при работе с медиафайлами. По описанию сопровождающего advisory, зарегистрированный пользователь мог заставить серверный обработчик открыть файл за пределами каталога загрузок и отправить его содержимое на подконтрольный Discord-сервер. Уязвимость получила оценку CVSS 9,6. Риск был особенно высоким для установок с открытой регистрацией и включённым Discord-провайдером: в поставляемом контейнере обработчик запускался с правами root.
Вторая проблема, CVE-2026-115933, затрагивала механизм подписи токенов. Уязвимость позволяла зарегистрированному пользователю получить подпись для произвольных данных и использовать созданные токены для входа в чужие учётные записи, сброса паролей или присоединения к организации с правами супер администратора. Advisory оценивает её в 9,9 балла CVSS.
Разработчики и авторы advisory подтверждают, что для обеих проблем существуют рабочие сценарии эксплуатации на уязвимых сборках. В качестве временных мер указаны отключение самостоятельной регистрации и отдельных интеграций, но они лишь снижают поверхность атаки. Владельцам самостоятельных установок следует обновить Postiz до 2.25.3 и проверить журналы доступа, настройки регистрации и подключённые интеграции.