Postiz · Divulgada

Postiz 2.25.3 corrige tokens forjados e path traversal

23 de out. de 2026 · 1 min de leitura

No Postiz auto-hospedado, qualquer usuário registrado podia forjar tokens assinados e assumir contas e organizações de outros usuários (CVE-2026-115933), além de ler arquivos do servidor por path traversal quando o provedor Discord estava configurado (CVE-2026-115932). Atualize para 2.25.3.

Por Redação HIFY Radar Atualizado 26/10/2026 13:11 Receba isso todo dia →← Voltar ao feed 3 fontes

AltaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Duas falhas graves no Postiz auto-hospedado (agendador de posts em redes sociais) foram divulgadas e corrigidas na versão 2.25.3, em 24 de outubro de 2026. Qualquer usuário registrado podia forjar tokens assinados e assumir contas e organizações de outros usuários, além de ler arquivos do servidor, como a chave JWT e senhas de provedores, segundo a GAdvisory.

Por que importa

A falha de tokens permite tomada total de contas e organizações de outros clientes da ferramenta. A leitura de arquivos expõe segredos do servidor, incluindo a chave de assinatura JWT, endereço do banco de dados e credenciais de provedores. Como o autorregistro é aberto por padrão, qualquer pessoa pode criar conta e atacar.

O que fazer

Atualize o postiz-app para a versão 2.25.3 imediatamente, como recomenda o próprio projeto. Enquanto isso, defina DISABLE_REGISTRATION=true e, se não usar o Discord, deixe as credenciais desse provedor vazias. Após atualizar, troque segredos e credenciais que possam ter sido lidos.

Para o time técnico

CVE: CVE-2026-115933, CVE-2026-115932
Afetados: Postiz (gitroomhq/postiz-app), self-hosted · postiz-app 2.15.0 até antes de 2.25.3 (CVE-2026-115933); postiz-app 2.23.0 até antes de 2.25.3 (CVE-2026-115932, rota principal com provedor Discord).
Exploração: Sem relato de exploração em produção nas fontes. A GAdvisory relata exploração demonstrada de ponta a ponta em builds sem modificação do backend e do orquestrador no commit 3a7d28b7ad96, usando conta auto-registrada: um arquivo fora do diretório de uploads chegou byte a byte como anexo no Discord do atacante. As rotas de validação e de mídia armazenada também foram exercitadas. A Anthropic entregou PoC funcional ao Postiz em 23/10/2026.
Correção: Atualizar para postiz-app 2.25.3 (patch 12db9bd, release de 24/10/2026). Mitigações parciais, por não fecharem a falha: definir DISABLE_REGISTRATION=true; se o Discord não for necessário, deixar DISCORD_CLIENT_ID, DISCORD_CLIENT_SECRET e DISCORD_BOT_TOKEN_ID vazios (remove apenas a rota principal; as outras rotas permanecem).
Vetor: Duas falhas no Postiz auto-hospedado. CVE-2026-115933: qualquer usuário registrado forja tokens assinados e assume contas e organizações de outros usuários. CVE-2026-115932 (CVSS v3 9.6, CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N, CWE-22 e CWE-74): path traversal em mídia de post; um caminho que não é endereço web é tratado como arquivo no disco, sem checagem de que está dentro do diretório de uploads; o worker de publicação lê o arquivo e envia como anexo a um servidor Discord controlado pelo atacante. A rota principal exige o provedor Discord configurado (DISCORD_CLIENT_ID, DISCORD_CLIENT_SECRET e DISCORD_BOT_TOKEN_ID definidos) e apenas uma conta comum; o autorregistro é aberto por padrão.
Mais detalhes: Rotas adicionais da CVE-2026-115932 (GAdvisory): com provedor Dribbble, TikTok ou Pinterest configurado, checar existência de caminho (arquivo ou diretório) e esgotar a memória do backend com uma única requisição apontando a um device file, parando o backend para todas as organizações até ser reiniciado; em instâncias com storage local e cloud bucket URL vazio, a mesma leitura ocorre sem precisar de site WordPress. O container oficial roda o worker como root, expondo todo arquivo legível pelo root. Arquivos alcançáveis incluem o segredo de assinatura JWT, o endereço do banco, segredos de clientes de provedores, o arquivo de ambiente, segredos montados, logs e o ambiente do processo. Créditos: Anthropic, PBC (descoberta), Enno Gelhaus (coordenação), Nevo David (correção). Linha do tempo: divulgação 23/10/2026 17:45; reprodução 18:00; fix verificado 24/10 12:26; release e advisory publicados 24/10 14:18.