„`html
Zusammenfassung
CVE-2026-19264 beschreibt eine kritische Path-Traversal-Schwachstelle in Postiz, einem Open-Source-Tool zur Planung von Social-Media-Beiträgen. Die Sicherheitslücke ermöglicht es unauthentifizierten Angreifern, beliebige Dateien vom Server auszulesen, einschließlich sensitiver Konfigurationsdaten und Secrets.
Betroffene Systeme
Alle bekannten Versionen von Postiz sind betroffen. Das Projekt wird unter einer Open-Source-Lizenz verwaltet und wird von verschiedenen Organisationen und Einzelnutzern bereitgestellt.
Technische Details
Die Anfälligkeit liegt in der Medien-Serving-Route vor, die ohne Authentifizierung erreichbar ist. Der Mechanismus konkateniert URL-Parameter mit dem Upload-Verzeichnis, normalisiert jedoch den resultierenden Pfad nicht ausreichend.
Das System bereinigt zwar Raw-Dot-Segmente (wie "../") vor dem Routing, kollabiert diese jedoch nur in nicht-kodierten Form. URL-kodierte Separatoren (z.B. "%2e%2e%2f") passieren das Routing unerkannt und werden erst im Handler dekodiert. Dies stellt die Path-Traversal wieder her.
Ein Angreifer kann dadurch auf folgende kritische Daten zugreifen:
- Prozessumgebungsvariablen mit JWT-Signing-Secrets
- Datenbankverbindungszeichenfolgen
- Provider- und Billing-Credentials
Da Session-Token mit dem JWT-Secret signiert werden und keinen Ablaufzeitpunkt enthalten, können Angreifer damit unbegrenzte Admin-Sessions für beliebige Benutzer forgieren.
Empfohlene Massnahmen
Sofortmassnahmen:
- Postiz-Instanzen umgehend offline nehmen oder beschränken
- Alle Secrets und API-SchlĂĽssel rotieren
- Datenbank-Credentials wechseln
- Authentifizierungslogs auf verdächtige Aktivitäten prüfen
Längerfristig: Auf eine gepatchte Version aktualisieren, sobald diese verfügbar ist. Input-Validierung und Path-Normalisierung vor Dateizugriffen implementieren.
Bewertung
CVSS-Score: 9.8 (Critical) – Die Schwachstelle erlaubt unauthentifizierten Fernzugriff mit maximalen Auswirkungen auf Vertraulichkeit und Integrität. Es besteht kein bekannter Patch.
„`