Postiz: Path Traversal in Post-Medien erlaubt Dateizugriff für registrierte Benutzer

Zusammenfassung

Postiz veröffentlicht Medien aus Beiträgen, indem es lokale Dateipfade liest, ohne zu prüfen, ob diese innerhalb des Upload-Verzeichnisses liegen. Ein registrierter Benutzer kann einen manipulierten Medienpfad mit einem Beitrag speichern; beim Ausführen des Publishing-Workers kann er beliebige Dateien lesen, die der Worker erreicht, und als Anhang an einen Discord-Server senden, den er kontrolliert. Zwei weitere Wege erlauben es, das Vorhandensein von Dateien zu prüfen und Dateiinhalte auf dieselbe Weise auszuliefern; einer davon kann den Arbeitsspeicher des Backends erschöpfen. Die Selbstregistrierung ist standardmässig offen, daher benötigt ein Angreifer kein bestehendes Konto, und lesbare Geheimnisse wie der JWT-Signaturschlüssel könnten eine Übernahme von Konten ermöglichen.

Betroffen

• GitroomHQ postiz-app 2.23.0 bis vor 2.25.3
• Standardkonfiguration ist vom Hauptweg nur betroffen, wenn der Discord-Provider konfiguriert ist (DISCORD_CLIENT_ID, DISCORD_CLIENT_SECRET, DISCORD_BOT_TOKEN_ID)
• Der Validierungsweg erfordert einen Dribbble-, TikTok- oder Pinterest-Provider
• Der Weg über gespeicherte Medien erfordert lokalen Speicher und eine leere Cloud-Bucket-URL

Behoben in

• Auf Postiz 2.25.3 oder neuer aktualisieren
• Fix-Commit: 12db9bd2f428b628a62809669c3d76297e07750a

Umgehung

• DISABLE_REGISTRATION=true setzen, um die Selbstregistrierung zu schliessen (reduziert die Exposition, behebt das Problem nicht)
• DISCORD_CLIENT_ID, DISCORD_CLIENT_SECRET und DISCORD_BOT_TOKEN_ID leer lassen, falls Discord nicht benötigt wird (entfernt nur den Hauptweg)
• Ausgehende Verbindungen des Postiz-Servers auf essenzielle Dienste beschränken (Vorschlag Dritter, vom Hersteller nicht verifiziert)

Ausnutzung

• Der Hersteller hat eine durchgehende Ausnutzung mit einem selbst registrierten Konto demonstriert.
• Es wurde keine Ausnutzung in freier Wildbahn gemeldet.
• Kein öffentlicher Proof of Concept bekannt; der funktionierende PoC wurde dem Hersteller privat gemeldet.
• Unbekannt: ob die Workarounds des Herstellers die beiden zusätzlichen Wege abdecken.

Unsere Empfehlung

• Postiz umgehend auf 2.25.3 oder neuer aktualisieren, wie vom Hersteller empfohlen.
• Bis zur Aktualisierung die Selbstregistrierung deaktivieren und bestehende Benutzerkonten überprüfen.
• Prüfen, ob der Discord-Provider konfiguriert ist, und dessen Zugangsdaten entfernen, falls nicht benötigt.
• Geheimnisse (JWT-Signaturschlüssel, Datenbank-Zugangsdaten, Client Secrets der Provider) rotieren, falls die Instanz vor dem Patch exponiert war.
• Logs auf ungewöhnliche Medienpfade und ausgehenden Discord-Verkehr des Postiz-Servers überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• PSA-2026-E9AHFV (GAdvisory vendor advisory) gadvisory.org
• Postiz release v2.25.3 github.com
• Fix commit 12db9bd github.com
• Postiz repository github.com
• Strix CVE mirror www.strix.ai
• VulDB entry vuldb.com
• Ostorlab write-up blog.ostorlab.co
• TheHackerWire mitigations www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:07.