CVE-2026-57449— Actual Sync Server CORS代理绕过泄露GitHub私有仓库
一分钟漏洞结论
影响对象
actualbudget actual
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Actual 是一款以本地优先的个人财务管理工具。在版本 26.7.0 之前，Actual Sync Server 中的 CORS 代理本意是仅允许经过身份验证的用户从官方插件白名单中列出的仓库获取资源。当配置了 环境变量时，该代理会自动在针对 GitHub 的请求中附加服务器持有的 GitHub 令牌。 然而，GitHub API 白名单检查仅使用原始的 前缀匹配逻辑来验证 路径，且未在仓库名称后要求严格的路径边界（例如 或结束符）。因此，如果一个白名单中的公共插件仓库为 ，那么代理也会接受以 开头的 GitHu
可能的 ATT&CK 技术 1 AI
T1552.004 · Private Keys影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| actualbudget | actual | < 26.7.0 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-57449 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Actual Sync Server: CORS Proxy GitHub API Allowlist Prefix Bypass Leaks Private Repositories Through the Server GitHub Token
来源: CVE Program / CVE List V5
Vulnerability Description
Actual is a local-first personal finance tool. Prior to 26.7.0, Actual Sync Server's CORS proxy is intended to let authenticated users fetch resources only from repositories listed in the official plugin allowlist. When `ACTUAL_GITHUB_TOKEN` is configured, the proxy automatically attaches the server's GitHub token to GitHub requests. The GitHub API allowlist check uses a raw `startsWith()` prefix test for `/repos/{owner}/{repo}` without requiring a path boundary after the repository name. If an allowlisted public plugin repository is `https://github.com/acme/plugin`, the proxy also accepts GitHub API URLs. Those URLs are outside the allowlisted repository but still pass because their API path starts with `/repos/acme/plugin`. The proxy then forwards the request with the server's `ACTUAL_GITHUB_TOKEN`, allowing any authenticated Actual user to read private GitHub resources reachable by that token. Version 26.7.0 fixes the issue.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
信息暴露
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| actualbudget | actual | < 26.7.0 | - |
|
二、漏洞 CVE-2026-57449 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-57449 的情报信息
请登录查看更多情报信息。
CVE-2026-57449 厂商安全公告 (1)
IV. Related Vulnerabilities
V. Comments for CVE-2026-57449
暂无评论