PT-2026-22202 · Actual · Actual

Q1Uf3Ng · Publicado 2026-02-26 · Atualizado 2026-03-25 · CVE-2026-27638

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Actual anteriores a 26.2.1

Descrição Existe uma vulnerabilidade no Actual, uma ferramenta de finanças pessoais, em que os endpoints da API de sincronização não verificam corretamente as permissões de acesso do usuário no modo multiusuário (OpenID). Isso permite que qualquer usuário autenticado leia, modifique e sobrescreva arquivos de orçamento pertencentes a outros usuários ao fornecer o ID do arquivo. Os endpoints da API afetados são /sync/*. O parâmetro vulnerável é o ID do arquivo.

Recomendações Atualize para a versão 26.2.1 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-27638

GHSA-QMJJ-P7M9-WJRV

Produtos afetados

Actual

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27638.json · Exploit
• https://github.com/actualbudget/actual · Nota
• https://github.com/actualbudget/actual/commit/9966c024cb75f57943193cac8e42f401efed9d08 · Correção
• https://github.com/actualbudget/actual/releases/tag/v26.2.1 · Nota
• https://github.com/actualbudget/actual/security/advisories/GHSA-qmjj-p7m9-wjrv · Aviso do Fabricante
• https://twitter.com/q1uf3ng/status/2036824777642655889 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2027216173016719384 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2027466643891491239 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-qmjj-p7m9-wjrv · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-27638 · Nota de Segurança
• https://twitter.com/cracbot/status/2028787693594071322 · Publicação no Twitter
• https://twitter.com/_cvereports/status/2027468824476311934 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-27638 · Aviso do Fabricante