Postiz 2.25.3 แก้ CVE-2026-115932 และ CVE-2026-115933 อ่านไฟล์กับปลอมโทเคน

Postiz 2.25.3 แก้ช่องโหว่อ่านไฟล์เซิร์ฟเวอร์และปลอมโทเคน

Postiz เผยแพร่รุ่น 2.25.3 เพื่อแก้ช่องโหว่สองรายการที่กระทบผู้ให้บริการซึ่งเปิดระบบให้ผู้ใช้สร้างบัญชีและเชื่อมต่อช่องทางเผยแพร่เนื้อหา รายการแรก CVE-2026-115932 เป็นการอ่านไฟล์นอกไดเรกทอรีอัปโหลดผ่านเส้นทางจัดการสื่อของโพสต์ ส่วน CVE-2026-115933 ทำให้ผู้ใช้ทั่วไปขอให้เซิร์ฟเวอร์เซ็นข้อมูลตามที่ตนกำหนดจนได้โทเคนที่ส่วนอื่นของแอปพลิเคชันยอมรับ ทั้งสองรายการมีเงื่อนไขต่างกัน แต่ใช้รุ่นแก้ไขเดียวกัน ผู้ดูแล Postiz ควรตรวจรุ่นของ backend และ worker ที่กำลังรับงานจริง

ลำดับการเปิดเผยและการแก้ไข

ผู้ประสานงานช่องโหว่เผยแพร่ PSA-2026-E9AHFV สำหรับปัญหาอ่านไฟล์เมื่อวันที่ 24 ตุลาคม 2026 เวลา 12:28 UTC และเผยแพร่ PSA-2026-YT2HMH สำหรับปัญหาโทเคนเมื่อวันที่เดียวกันเวลา 14:16 UTC ระเบียน CVE-2026-115932 เผยแพร่ครั้งแรกเวลา 12:28 UTC ส่วน CVE-2026-115933 เผยแพร่ครั้งแรกเวลา 14:17 UTC โครงการ Postiz เผยแพร่รุ่น 2.25.3 เวลา 14:16 UTC และระบุในบันทึกการออกรุ่นว่าแก้ประกาศทั้งสองฉบับ เวลาที่ระบุเป็น UTC ตามข้อมูลต้นทาง

CVE-2026-115932: พาธสื่อพา worker ไปอ่านไฟล์อื่น

ระเบียน CVE ระบุว่า Postiz ตั้งแต่ 2.23.0 และก่อน 2.25.3 ได้รับผลกระทบ เมื่อโพสต์ถูกเผยแพร่ ระบบอาจมองค่าพาธสื่อที่ไม่ใช่ URL ว่าเป็นพาธไฟล์บนดิสก์ แต่ไม่ได้ยืนยันว่าพาธนั้นอยู่ภายในไดเรกทอรีอัปโหลด ผู้ใช้ที่ลงทะเบียนสามารถเก็บพาธที่สร้างขึ้นเป็นพิเศษไว้กับโพสต์ แล้วทำให้ publishing worker อ่านไฟล์ที่บัญชีผู้ใช้บนเซิร์ฟเวอร์มีสิทธิ์อ่าน ส่งเนื้อหาออกเป็นไฟล์แนบไปยัง Discord ของผู้โจมตีได้ ขอบเขตนี้เป็นการอ่านไฟล์ ไม่ใช่หลักฐานว่าโค้ดจากภายนอกถูกรันบนเครื่อง

ประกาศต้นทางอธิบายว่ายังมีเส้นทางอื่นที่เข้าถึงการอ่านไฟล์ลักษณะเดียวกันได้อีก เส้นทางหนึ่งเปิดเผยว่าไฟล์มีอยู่หรือไม่และอาจใช้หน่วยความจำมากจนบริการเสียหาย อีกเส้นทางนำไฟล์ออกในลักษณะใกล้กับเส้นทางหลัก ความรุนแรงในระบบจริงขึ้นอยู่กับไฟล์ที่ worker อ่านได้ และ provider ที่เปิดใช้งาน เส้นทางเผยแพร่ไป Discord ต้องเปิด provider ของ Discord ขณะที่เส้นทางตรวจสอบพาธเกี่ยวข้องกับ provider อีกกลุ่มหนึ่ง ดังนั้นการปิด Discord อย่างเดียวไม่ใช่การแก้ช่องโหว่ทั้งหมด หากไฟล์ที่ถูกอ่านมีความลับซึ่งใช้ลงลายเซ็น session ความเสี่ยงอาจขยายไปถึงความปลอดภัยของบัญชีด้วย ผู้ดูแลควรปฏิบัติต่อความเป็นไปได้นี้เป็นประเด็นตรวจสอบ ไม่สรุปว่าข้อมูลรั่วไหลแล้วโดยไม่มีหลักฐานจากระบบของตน

CVE-2026-115933: โทเคนหลายหน้าที่ใช้ความลับร่วมกัน

Postiz ตั้งแต่ 2.15.0 และก่อน 2.25.3 ได้รับผลกระทบจากปัญหาอีกแบบหนึ่ง ระบบใช้ secret ร่วมกันในการเซ็น session โทเคนคำเชิญ และโทเคนรีเซ็ตรหัสผ่าน โดยไม่มีตัวบ่งชี้ชนิดโทเคนที่แยกจุดประสงค์ชัดเจน ประกาศต้นทางระบุว่า route สำหรับต่ออายุข้อมูลรับรองของช่องทาง browser extension นำข้อมูลจากคำขอไปเซ็น แล้วเก็บผลให้ผู้เรียกอ่านกลับได้ ผู้ใช้ที่มีบัญชีจึงอาจได้โทเคนที่มี claims ตามที่เลือก และนำไปใช้ในจุดที่แอปพลิเคชันยอมรับเป็น session คำเชิญเข้าทีม การรีเซ็ตรหัสผ่าน หรือโทเคนสำหรับงานองค์กร เส้นทางสร้างคำเชิญทีมยังมีปัญหาคล้ายกันในขอบเขตที่แคบกว่า

ประกาศของผู้ประสานงานระบุว่าการใช้เส้นทางหลักเกี่ยวข้องกับการเชื่อมบัญชี Skool ของผู้โจมตี และตัวอย่างการทดสอบแสดงผลกระทบต่อบัญชีและองค์กรอื่น ข้อจำกัดของฟีเจอร์บางส่วนอาจขึ้นอยู่กับการตั้งค่าการชำระเงินและระดับแผน แต่การยอมรับ session และโทเคนรีเซ็ตรหัสผ่านไม่ได้ถูกอธิบายว่ามีข้อจำกัดเดียวกัน ผู้ดูแลจึงไม่ควรตีความว่าระบบที่ไม่ได้เปิด Stripe ปลอดภัยจาก CVE นี้โดยอัตโนมัติ ประเด็นสำคัญคือการแยกบริบทของโทเคนและตรวจว่าข้อมูลที่จะเซ็นมาจากแหล่งที่เชื่อถือได้

ตรวจและอัปเดตอย่างไร

ตรวจหมายเลขรุ่นของทุกอินสแตนซ์ รวมทั้ง backend, publishing worker และ container image ที่รันอยู่จริง แล้วอัปเดตเป็น Postiz 2.25.3 หรือใหม่กว่า ตามประกาศรุ่นของโครงการ หลังอัปเดตให้ตรวจว่า image หรือ process เก่าถูกแทนที่ครบ และทดสอบฟังก์ชันโพสต์พร้อมไฟล์สื่อ การเชื่อม provider และการเข้าสู่ระบบตามการใช้งานจริง ผู้ตรวจโค้ดสามารถดูแพตช์พาธสื่อ และแพตช์การเซ็นโทเคน เพื่อเทียบกับรุ่นที่ใช้อยู่

หากยังอัปเดตไม่ได้ทันที การตั้ง DISABLE_REGISTRATION=true จำกัดไม่ให้ผู้โจมตีใหม่สมัครบัญชีเอง แต่บัญชีเดิมยังอาจใช้ช่องโหว่ได้ สำหรับ CVE-2026-115933 ประกาศต้นทางเสนอให้บล็อก POST /integrations/extension-refresh ที่ reverse proxy หากไม่ได้ใช้ช่องทางที่พึ่ง browser extension แต่วิธีนี้ยังเหลือเส้นทางคำเชิญทีม สำหรับ CVE-2026-115932 การไม่เปิด provider Discord จะตัดเส้นทางส่งไฟล์หลัก แต่เส้นทางอ่านอื่นยังอยู่ มาตรการเหล่านี้มีไว้ลดความเสี่ยงระหว่างรออัปเดตเท่านั้น

ผู้ดูแลที่สงสัยว่ามีการใช้ช่องโหว่ควรเก็บ log ของ API, งานเผยแพร่ และกิจกรรมบัญชีตามนโยบายองค์กร ตรวจคำขอที่เกี่ยวกับพาธสื่อหรือการต่ออายุช่องทางซึ่งผิดจากรูปแบบปกติ หากพบหลักฐานว่ามีการอ่านไฟล์ความลับหรือได้โทเคนที่ไม่ได้รับอนุญาต ให้ประเมินการหมุนเวียน secret และการเพิกถอน session โดยอาศัยขั้นตอนตอบสนองเหตุการณ์ของตน อย่าเปิดเผยค่าความลับหรือพาธไฟล์จริงในรายงานสาธารณะ และอย่าคิดว่าการมี CVE หมายถึงทุกการติดตั้งถูกโจมตีแล้ว

แหล่งข้อมูลต้นทาง: ประกาศเรื่องพาธสื่อ, ประกาศเรื่องโทเคน, Postiz 2.25.3, CVE-2026-115932 และ CVE-2026-115933