جزئیات آسیب‌پذیری
CVE-2026-49229
actualbudget actual
Actual: Disabled OpenID users keep access through existing session tokens
CVSS 3.1
8.3بالا
شرح رسمی (انگلیسی)
Actual is a local-first personal finance app. Prior to 26.6.0, in OpenID multi-user mode, disabling a user only blocks future OpenID login for that identity, while existing Actual session tokens for the disabled user remain valid. The shared session validation path accepts any existing token row that has not expired without checking whether the associated user is still enabled, allowing a disabled user to continue calling authenticated server endpoints. This issue is fixed in version 26.6.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.3بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| actualbudget | actual | < 26.6.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://github.com/actualbudget/actual/commit/c8cb8a223a4faf1c2e1dcb0795a79a93f7b19e80 x_refsource_MISC
- https://github.com/actualbudget/actual/releases/tag/v26.6.0 x_refsource_MISC
- https://github.com/actualbudget/actual/security/advisories/GHSA-cq9c-6w48-qmfg x_refsource_CONFIRM
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۴/۱۷
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۴/۱۸
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۳۲٪
احتمال بهره‌برداری در ۳۰ روز
۲۵٫۱٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-613Insufficient Session Expiration