PT-2026-24064 · Actual · Actual Sync Server

Juan Patarroyo · Publicado 2026-03-09 · Atualizado 2026-05-19 · CVE-2026-3089

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Actual Sync Server anteriores a 26.3.0

Descrição O Actual Sync Server permite que usuários autenticados façam upload de arquivos através do endpoint da API ''/sync/upload-user-file''. Em versões anteriores a 26.3.0, a validação insuficiente do cabeçalho x-actual-file-id permite que segmentos de travessia (../) escapem do diretório pretendido, potencialmente permitindo a gravação de arquivos fora do diretório userFiles.

Recomendações Atualize para a versão 26.3.0 ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-3089

GHSA-27VG-33GH-4HWG

Produtos afetados

Actual Sync Server

Referências · 14

• 🔥 https://fluidattacks.com/advisories/fugue · Exploit
• https://github.com/actualbudget/actual · Nota
• https://github.com/actualbudget/actual/pull/7067 · Correção
• https://github.com/actualbudget/actual/commit/18072e1d8b5281db43ded8b21433ee177bae9dfa · Nota
• https://github.com/actualbudget/actual/security/advisories/GHSA-27vg-33gh-4hwg · Nota
• https://twitter.com/cyberbivash/status/2031058080474051018 · Publicação no Twitter
• https://twitter.com/dailycve/status/2031216962714337617 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-3089 · Nota de Segurança
• https://twitter.com/fluidattacks/status/2056849123865919675 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-27vg-33gh-4hwg · Aviso do Fabricante
• https://t.me/CVEtracker/46907 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-3089 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2031122529893470224 · Publicação no Twitter
• https://twitter.com/fluidattacks/status/2051772170561278147 · Publicação no Twitter