CVE-2026-105131
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
ezBookkeeping 1.2.0 przed wersją 2.0.1 zawiera podatność eskalacji uprawnień, która pozwala atakującym posiadającym token API uzyskać pełny token sesji poprzez /api/v1/tokens/refresh.json. Ponieważ TokenRefreshHandler nigdy nie sprawdza typu tokenu, atakujący mogą wymienić krótkotrwałe lub ograniczone do IP tokeny API na 30-dniowe normalne tokeny sesji, które omijają wygaśnięcie tokenu API i listy dozwolonych.
Ocena ryzyka
Atakujący z tokenem API może uzyskać długotrwały token sesji omijający ograniczenia, co prowadzi do nieautoryzowanego dostępu do konta i danych.
Rekomendacja
Zaktualizuj ezBookkeeping do wersji 2.0.1 lub nowszej, która weryfikuje typ tokenu w TokenRefreshHandler.
Inne podatności w ezBookkeeping
Zobacz wszystkie- CVE-2026-86041Średnie
ezBookkeeping tworzy router Gin za pomocą gin.New() bez konfiguracji SetTrustedProxies, przez co c.ClientIP() ufa sfałszowanej wartości X-Forwarded-For. Nieuwierzytelniony zdalny atakujący może podać adres z listy dozwolonych, aby ominąć bramkę mcp_allowed_remote_ips lub api_token_allowed_remote_ips. Do chronionych akcji nadal wymagany jest ważny token MCP lub API, ale sfałszowana wartość jest zapisywana w Transaction.CreatedIp i logach, przypisując aktywność zaufanemu hostowi.
- CVE-2026-94112Średnie
mayswind ezBookkeeping przed wersją 2.0.0 nie unieważnia kodów TOTP po ich użyciu, co pozwala atakującym na powtórne użycie przechwyconych kodów w oknie akceptacji. Atakujący ze skradzionymi poświadczeniami mogą się uwierzytelnić i ponownie użyć przechwyconego kodu w wielu próbach autoryzacji przez około 90 sekund bez wykrycia.
Oryginalny opis (angielski, źródło NVD)
ezBookkeeping 1.2.0 before 2.0.1 contains a privilege escalation vulnerability that allows attackers holding an API token to obtain a full session token via /api/v1/tokens/refresh.json. Because TokenRefreshHandler never checks token type, attackers can exchange short-lived or IP-restricted API tokens for 30-day normal session tokens that bypass API token expiry and allowlists.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS