CVE-2026-71251mediumCWE-639

CVE-2026-71251: fallo de gravedad media en akaunting

Akaunting - Cross-Company Media IDOR in Customer Portal Download Endpoint

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Akaunting

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 0.3%
Akaunting's shared download route (app/Http/Controllers/Common/Uploads.php::download, reachable at uploads/{id}/download behind only generic auth middleware) fetched the requested Media record by ID with no verification that it belonged to the requesting portal customer's own company, allowing any authenticated portal customer to download any other company's uploaded files by guessing or enumerating media IDs.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Productos afectados
akaunting · akaunting
CVEs relacionadas — akaunting

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-51019HIGHAkaunting before 2.1.31 OS Command Injection via app aliasEPSS 1.8%