p PatchFirst

CVE-2026-3089

CVE-2026-3089 · Actual Sync Server 26.2.1 - Authenticated Path Traversal

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Actual Sync Server allows authenticated users to upload files through POST /sync/upload-user-file. In versions prior to 26.3.0, improper validation of the user-controlled x-actual-file-id header means that traversal segments (../) can escape the intended directory and write files outside userFiles.This issue affects prior versions of Actual Sync Server 26.3.0.

CVSS 5.3 · Средний · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • actual sync server

    Версии
    • 26.2.1: Затронуто

    Нет опубликованного исправления

  • @actual-app/sync-server npm

    Затронутые диапазоны версий
    • SEMVER: < 26.3.0

    Обновитесь до 26.3.0

Первоисточники

Проверьте свой сервер →