CVE-2026-105696 in Penpot
الملخص
بحسب VulDB • 05/10/2026
Penpot هو منصة مفتوحة المصدر للتصميم والنماذج الأولية. قبل الإصدار 2.18.0، تقبل دالة get-page RPC كائن إذن رابط المشاركة بصلاحية قراءة شاملة دون التحقق من أن معرف الصفحة الذي يختاره المستخدم ينتمي إلى مجموعة الصفحات المصرح بها في الرابط. يمكن لمهاجم يمتلك كلًا من رابط مشاركة صالح وجلسة Penpot خاصة به ومصادق عليها استرداد بيانات الأشكال والتصميم الكاملة لصفحة أخرى ضمن نفس الملف عندما يكون معرّفها معروفًا، نظرًا لأن get-page تتطلب المصادقة. كما تسمح دالة get-file-fragment RPC أيضًا بالوصول عبر روابط المشاركة دون ربط المقاطع (fragments) بالصفحات المصرح بها. تم إصلاح هذه المشكلة في الإصدار 2.18.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.