Kritikus Postiz-hibák: hitelesítési tokenek és szerverfájlok kerülhettek veszélybe

Két kritikus biztonsági sérülékenységet javítottak a nyílt forráskódú Postiz közösségimédia-kezelő szoftverben. A 2026. október 24-én publikált CVE-2026-115933 és CVE-2026-115932 hibák eltérő módon érintik a vállalati hozzáféréseket: az egyik hitelesítési tokenekkel való visszaélést, a másik kiszolgálón tárolt állományok jogosulatlan elérését tehette lehetővé.

A Postiz a különböző közösségimédia-csatornák tartalmainak kezelésére, időzítésére és közzétételére használható. Egy saját üzemeltetésű példány gyakran csatorna-hozzáférésekhez, alkalmazástitkokhoz és más külső integrációkhoz kapcsolódik.

1. probléma: ugyanazzal a titokkal többféle token készült

A CVE-2026-115933 sérülékenység leírása szerint a Postiz a munkamenet-, meghívási és jelszó-visszaállítási tokenekhez közös aláíró titkot használt, de a tokenek célját nem különböztette meg megfelelően.

Egy böngészőbővítményhez kötődő hitelesítőadat-frissítési végpont a kérésből származó, manipulálható adatokat aláírhatta, majd az eredményt a kérelmező felhasználó számára olvasható helyen tárolta. Így érvényes aláírással rendelkező, tetszőleges állításokat tartalmazó token is készülhetett, amelyet más funkciók – például munkamenet, szervezeti meghívás vagy jelszó-visszaállítás – elfogadhattak. Egy szűkebb csapatmeghívási útvonal hasonló problémát mutatott.

A GitHub Advisory Database és a biztonsági adatlap ezt kritikus, CVSS 3.1 szerint 9,9-es hibaként tartja nyilván.

2. probléma: a feltöltési könyvtáron kívüli fájlok is olvashatók lehettek

A CVE-2026-115932 egy fájlútvonal-kezelési hiba. Amikor egy posztot közzétettek, a rendszer egyes médiaútvonalakat helyi szerverfájlként kezelt, de nem ellenőrizte megfelelően, hogy azok a feltöltéseknek fenntartott könyvtáron belül maradnak-e.

A sérülékenységi leírás szerint egy regisztrált felhasználó így tetszőleges, a Postiz-folyamat számára olvasható állományt juttathatott el például az általa ellenőrzött Discord-csatornára csatolmányként. További útvonalak fájlok létezésének vizsgálatát és egyes esetekben a szerver erőforrásainak kimerítését tették lehetővé. A Postiz alapértelmezés szerint engedélyezett önregisztrációja csökkentheti a kihasználás belépési küszöbét.

A CVSS 3.1 szerinti súlyosság 9,6. A tényleges következményeket a kiszolgálófolyamat jogosultságai és az olvasható fájlok köre határozza meg.

Miért számít ez egy pénzügyi szolgáltatónál is?

A közösségimédia-kezelő rendszer első pillantásra távolinak tűnhet a banki API-któl. Ugyanakkor egy vállalati marketing- vagy ügyfélkommunikációs platform is tárolhat központi hozzáférési adatokat, csatornaengedélyeket és szolgáltatásintegrációs titkokat.

Ha egy ilyen eszköz egy nagyobb, kevéssé elkülönített infrastruktúrában fut, az onnan megszerzett titkok vagy jogosultságok más rendszerekre is hatással lehetnek. Ez lehetséges kockázati lánc, nem annak bizonyítéka, hogy banki adatokat loptak volna el Postizon keresztül.

Milyen intézkedés javasolt?

A Postiz fejlesztői a 2.25.3-as verzióban javították a két ismertetett hibát. Saját üzemeltetésű telepítéseknél a ténylegesen futó verzió és az alkalmazás elérhetősége ellenőrzendő, majd a javító kiadás telepítése indokolt.

Ha a példány korábban sérülékeny volt, érdemes felülvizsgálni a munkameneteket, meghívásokat, hozzáférési tokeneket, a publikálási naplókat és a gyanús kimenő fájltovábbításokat. A sérülékeny környezet számára hozzáférhető titkok cseréjéről a tényleges kitettség alapján lehet dönteni. A korlátozott jogosultságú futtatás és a marketingeszközök elkülönítése hosszabb távon is fontos védelmi lépés.