PT-2026-21761 · Unknown+2 · Actualbudget+3
Iamsilk
·
Publicado
2026-02-24
·
Atualizado
2026-03-01
·
CVE-2026-27584
CVSS v4.0
9.2
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do ActualBudget anteriores a 26.2.1
Descrição
Uma verificação de autenticação ausente no componente do servidor do ActualBudget permite que usuários não autenticados acessem os endpoints de integração do SimpleFIN e Pluggy.ai. Isso permite que um atacante leia informações sensíveis de saldo de conta bancária e transações de usuários do ActualBudget que tenham essas integrações habilitadas. Os endpoints vulneráveis são:
/simplefin/status, /simplefin/accounts, /simplefin/transactions, /pluggyai/status, /pluggyai/accounts e /pluggyai/transactions. A instância do servidor deve estar acessível pela rede para que a exploração ocorra. O código-fonte vulnerável está localizado no repositório do GitHub actualbudget/actual dentro dos arquivos packages/sync-server/src/app-simplefin/app-simplefin.js e packages/sync-server/src/app-pluggyai/app-pluggyai.js. Um exemplo de uma integração devidamente autenticada é encontrado em packages/sync-server/src/app-gocardless/app-gocardless.js. A exploração pode ser realizada usando comandos curl para consultar os endpoints sem autenticação, recuperando detalhes da conta e histórico de transações. As respostas de exemplo incluem nomes de contas, saldos, detalhes de transações e metadados associados.Recomendações
Atualize para a versão 26.2.1 ou posterior para resolver este problema.
Exploit
Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Actualbudget
Gocardless
Pluggy.Ai
Simplefin