What’s Vulnerable › Vulnerabilities

CVE-2026-115933: Forged signed tokens let any registered user take over other users and organizations

Description

Postiz signs its session, invitation and password reset tokens with one shared secret and without any marker of what a token is for. A route that refreshes the credentials of a browser-extension channel signed data taken from the request itself and stored the result where the requesting user can read it back. A user could therefore obtain a validly signed token containing any claims they choose, which the application accepts as a session, as an organization invitation with a chosen role, as a password reset or as an enterprise provisioning token. A second, narrower route that creates team invitations signs extra fields from the request body in the same way.

Summary

Postiz signs session, invitation, and password reset tokens with one shared secret and no marker of a token's purpose. A browser-extension credential refresh route signed request-supplied data and stored the result where the requesting user could read it, letting any registered user forge a validly signed token with arbitrary claims — accepted as a session, an organization invitation with a chosen role, a password reset, or an enterprise provisioning token — and take over other users and organizations. A second, narrower team-invitation route signs extra request-body fields the same way. Affected is gitroomhq postiz-app before 2.25.3; CVSS 9.9 critical, not in CISA KEV, EPSS 0.2%. Upgrade to 2.25.3.

توقّع Postiz رموز الجلسات والدعوات وإعادة تعيين كلمة المرور بسرّ مشترك واحد دون أي علامة تحدّد الغرض من الرمز. وكان مسار لتحديث بيانات قناة إضافة المتصفح يوقّع بيانات مأخوذة من الطلب نفسه ويخزّن النتيجة حيث يستطيع المستخدم الطالب قراءتها، ما أتاح لأي مستخدم مسجّل الحصول على رمز موقّع صالح يحمل أي ادعاءات يختارها، ويقبله التطبيق كجلسة أو دعوة إلى مؤسسة بدور محدّد أو إعادة تعيين كلمة مرور أو رمز تزويد للمؤسسات، والاستيلاء على مستخدمين ومؤسسات أخرى. كما يوقّع مسار ثانٍ أضيق لإنشاء دعوات الفريق حقولاً إضافية من جسم الطلب بالطريقة ذاتها. المنتج المتأثر هو gitroomhq postiz-app قبل الإصدار 2.25.3؛ درجة CVSS 9.9 حرجة، وليس ضمن CISA KEV، واحتمال الاستغلال EPSS خلال 30 يوماً 0.2%. يُنصح بالترقية إلى الإصدار 2.25.3.

Affected products

How to fix

Upgrade to a fixed version: gitroomhq postiz-app 2.25.3. Check the vendor advisory for mitigations.

References

Get alerted when CVE-2026-115933 or the next vulnerability affects your stack