Actual Sync Server has an Authenticated Path Traversal

中 6.5CVE-2026-3089 · GHSA-27vg-33gh-4hwg · 09/03/2026 公開 · 17/06/2026 更新

要点

CVE-2026-3089 は actual (actualbudget), @actual-app/sync-server に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.42%（全脆弱性の 36.1% より高い）。
対処：26.3.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
actual actualbudget	`< 26.3.0`	`26.3.0`
@actual-app/sync-server npm	`< 26.3.0`	`26.3.0`

概要

Description

Actual Sync Server allows authenticated users to upload files through POST /sync/upload-user-file. In versions prior to 26.3.0, improper validation of the user-controlled x-actual-file-id header means that traversal segments (../) can escape the intended directory and write files outside userFiles.

Mitigations

The vulnerability can be mitigated in prior versions by running the sync server in a filesystem sandbox.

NVD の説明

Actual Sync Server allows authenticated users to upload files through POST /sync/upload-user-file. In versions prior to 26.3.0, improper validation of the user-controlled x-actual-file-id header means that traversal segments (../) can escape the intended directory and write files outside userFiles.This issue affects prior versions of Actual Sync Server 26.3.0.