🇰🇷 한글 설명
Actual 개인 금융 도구의 멀티 유저 모드(OpenID)에서 동기화 API 엔드포인트가 파일 소유권 및 접근 권한을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증된 사용자라면 파일 ID를 이용해 다른 사용자의 예산 파일을 읽거나 수정 및 덮어쓸 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 다른 사람의 가계부 파일을 마음대로 열어보거나 내용을 고칠 수 있는 보안 결함입니다. 파일의 고유 번호만 알면 타인의 개인 금융 정보에 접근할 수 있어 위험합니다.
🇺🇸 원문 (English)
Actual is a local-first personal finance tool. Prior to version 26.2.1, in multi-user mode (OpenID), the sync API endpoints (`/sync/*`) don't verify that the authenticated user owns or has access to the file being operated on. Any authenticated user can read, modify, and overwrite any other user's budget files by providing their file ID. Version 26.2.1 patches the issue.
📍 영향받는 시스템
Actual (OpenID 멀티 유저 모드) 버전 26.2.1 미만
⚔️ 공격 벡터
인증된 사용자가 타인의 파일 ID를 포함한 동기화 API 요청을 전송하여 데이터 탈취 및 변조
🛡️ 대응 방법
Actual을 최신 보안 패치가 적용된 버전 26.2.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 26.2.1보다 낮으면 취약한 상태이며, 26.2.1 이상이면 안전합니다.
actual --version 2>/dev/null | grep -E '26\.[2-9]\.' || echo 'Version check failed'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access