CVE-2026-115932 Recorrido de rutas en medios de publicaciones de Postiz permite leer archivos del servidor

Qué es CVE-2026-115932

Al publicar una entrada, Postiz trata una ruta de medios que no es una dirección web como un archivo del disco del servidor, pero no verifica que esté dentro del directorio de subidas. Un usuario registrado puede guardar una ruta de medios manipulada en una publicación, superar las comprobaciones habituales y hacer que el proceso de publicación lea un archivo arbitrario y lo envíe como adjunto a un servidor de Discord que controle. El autorregistro está abierto por defecto, por lo que no se necesita una cuenta…

Productos y versiones afectadas

• GitroomHQ postiz-app

  • desde 2.23.0 hasta antes de 2.25.3

Qué hacer

1. Verificá si usás postiz-app y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.6 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

When a post is published, Postiz treats a media path that is not a web address as a file on the server's disk, but it does not check that the file lies inside the upload directory. A registered user can store a crafted media path with a post, get it past the checks that normally restrict it, and have the publishing worker read an arbitrary file and send it as an attachment to a Discord server the user controls. The same unconfined reads can be reached through two further routes. One tells the caller whether a file exists and can exhaust the backend's memory, the other delivers the file the same way as the main route. Self-registration is open by default, so the attacker needs no existing account.

Referencias

• github.com/gitroomhq/postiz-appPRODUCT
• github.com/gitroomhq/postiz-app/releases/tag/v2.25.3RELEASE-NOTES
• github.com/gitroomhq/postiz-app/commit/12db9bd2f428b628a62809669c3d76297e07750aPATCH
• gadvisory.org/advisories/PSA-2026-E9AHFVVENDOR-ADVISORY

Historial de la alerta

1. 24 OCT · 11:20VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.