‹ Volver al listado

CVE-2026-107761

Estado: Pendiente de análisisMedia (5.3)—
Gravedad5.3Media · CVSS 4.0
Probabilidad de explotación0.28 %mayor que el 20 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Varios puntos finales de Postiz devuelven la fila completa de la base de datos del registro en el que operan en lugar de solo los campos que el cliente necesita. Dos de ellos incluyen secretos que no se supone que deba recibir quien realiza la llamada.

La eliminación de canal del API pública devuelve la fila de integración eliminada, incluidos el token de acceso a la plataforma y el token de actualización del canal. Una aplicación OAuth de terceros autorizada para eliminar un canal recibe así las credenciales de la plataforma social de ese canal y puede utilizarlas contra la cuenta conectada directamente, fuera de Postiz.

Leer descripción completaMostrar menos

`GET /user/organizations` devuelve cada fila de organización, incluida su clave API, a cada miembro de la organización. La clave API está destinada únicamente a administradores, por lo que un miembro con un rol inferior puede obtenerla y llamar al API pública en nombre de la organización.

Ambos puntos finales requieren una sesión válida, una clave API o un token OAuth y están limitados a la propia organización de quien realiza la llamada. No hay acceso anónimo ni exposición entre inquilinos.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.3
Versión
4.0
Vector
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.28 %
Percentil entre todas las CVEs puntuadas
20
Fecha de la puntuación
21/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Acceso remoto autenticado (PR:L) a endpoints que exponen secretos no autorizados: tokens de plataforma social y claves API. Permite escalada de privilegios lateral y suplantación de cuentas organizacionales.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementUser Account ManagementNetwork SegmentationMulti-factor AuthenticationActive Directory ConfigurationVulnerability Scanning

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Gitroom — PostizAI

CWE

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107761",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107761",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T17:51:22.688318Z"
        }
      }
    ],
    "cvssMetricV40": [
      {
        "type": "Secondary",
        "source": "4cdc9741-f887-419a-a2fd-acbbd2729276",
        "cvssData": {
          "Safety": "NOT_DEFINED",
          "version": "4.0",
          "Recovery": "NOT_DEFINED",
          "baseScore": 5.3,
          "Automatable": "NOT_DEFINED",
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "valueDensity": "NOT_DEFINED",
          "vectorString": "CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X",
          "exploitMaturity": "NOT_DEFINED",
          "providerUrgency": "NOT_DEFINED",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "attackRequirements": "NONE",
          "privilegesRequired": "LOW",
          "subIntegrityImpact": "LOW",
          "vulnIntegrityImpact": "NONE",
          "integrityRequirement": "NOT_DEFINED",
          "modifiedAttackVector": "NOT_DEFINED",
          "subAvailabilityImpact": "NONE",
          "vulnAvailabilityImpact": "NONE",
          "availabilityRequirement": "NOT_DEFINED",
          "modifiedUserInteraction": "NOT_DEFINED",
          "modifiedAttackComplexity": "NOT_DEFINED",
          "subConfidentialityImpact": "LOW",
          "vulnConfidentialityImpact": "LOW",
          "confidentialityRequirement": "NOT_DEFINED",
          "modifiedAttackRequirements": "NOT_DEFINED",
          "modifiedPrivilegesRequired": "NOT_DEFINED",
          "modifiedSubIntegrityImpact": "NOT_DEFINED",
          "modifiedVulnIntegrityImpact": "NOT_DEFINED",
          "vulnerabilityResponseEffort": "NOT_DEFINED",
          "modifiedSubAvailabilityImpact": "NOT_DEFINED",
          "modifiedVulnAvailabilityImpact": "NOT_DEFINED",
          "modifiedSubConfidentialityImpact": "NOT_DEFINED",
          "modifiedVulnConfidentialityImpact": "NOT_DEFINED"
        }
      }
    ]
  },
  "affected": [
    {
      "source": "4cdc9741-f887-419a-a2fd-acbbd2729276",
      "affectedData": [
        {
          "repo": "https://github.com/gitroomhq/postiz-app",
          "vendor": "GitroomHQ",
          "product": "postiz-app",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "lessThan": "2.25.1",
              "versionType": "semver"
            }
          ],
          "packageName": "postiz-app",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-11T16:16:30.490",
  "references": [
    {
      "url": "https://gadvisory.org/advisories/PSA-2026-4QX1WG",
      "source": "4cdc9741-f887-419a-a2fd-acbbd2729276"
    },
    {
      "url": "https://github.com/gitroomhq/postiz-app/commit/8ad0df3df0f21299b8640568358c1b68c6464e4f",
      "source": "4cdc9741-f887-419a-a2fd-acbbd2729276"
    },
    {
      "url": "https://github.com/gitroomhq/postiz-app/releases/tag/v2.25.1",
      "source": "4cdc9741-f887-419a-a2fd-acbbd2729276"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "4cdc9741-f887-419a-a2fd-acbbd2729276",
      "description": [
        {
          "lang": "en",
          "value": "CWE-201"
        },
        {
          "lang": "en",
          "value": "CWE-213"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Several Postiz endpoints return the complete database row of the record they operate on instead of only the fields the client needs. Two of them include secrets the caller is not meant to receive.\n\nThe public API's channel delete returns the deleted integration row, including the channel's platform access token and refresh token. A third-party OAuth app permitted to delete a channel therefore receives that channel's social platform credentials and can use them against the connected account directly, outside Postiz.\n\n`GET /user/organizations` returns each organization row, including its API key, to every member of the organization. The API key is intended for admins only, so a member with a lower role can obtain it and call the public API on behalf of the organization.\n\nBoth endpoints require a valid session, API key or OAuth token and are scoped to the caller's own organization. There is no anonymous access and no cross-tenant exposure."
    }
  ],
  "lastModified": "2026-10-15T19:17:19.220",
  "sourceIdentifier": "4cdc9741-f887-419a-a2fd-acbbd2729276"
}