CVE-2026-28506 in Outline
الملخص
بحسب VulDB • 01/07/2026
Outline هو خدمة تتيح التعاون في إنشاء المستندات. قبل الإصدار 1.5.0، يحتوي نقطة نهاية واجهة برمجة التطبيقات events.list، المستخدمة لاسترداد سجلات النشاط، على عيب منطقي (Logic Flaw) في آلية التصفية الخاصة به. يسمح هذا العيب لأي مستخدم مُصادق عليه باسترجاع أحداث النشاط المرتبطة بالمستندات التي لا تنتمي إلى مجموعة محددة (مثل المسودات الخاصة أو المستندات المحذوفة)، بغض النظر عن صلاحيات المستخدم الفعلية على تلك المستندات. وعلى الرغم من أن محتوى المستند نفسه ليس مكشوفاً بشكل مباشر، فإن هذا الثغرة تؤدي إلى تسرب بيانات تعريف حساسة (Metadata) مثل معرفات المستندات (Document IDs)، وطوابع زمنية لنشاط المستخدمين، وفي بعض الحالات الخاصة مثل عنوان الدائمة للحذف (Permanent Delete). والأهم من ذلك أن تسرب معرفات مستندات صالحة للمسودات المحذوفة يلغي حماية العشوائية المعتمدة على UUIDs، مما يجعل هجمات الوصول غير المصرح به عبر معرّف الموارد الفريد (IDOR) عالية الخطورة (مثل تلك التي تم تحديدها في documents.restore) قابلة للاستغلال بسهولة من خلال تقليل تعقيد الهجوم. يقوم الإصدار 1.5.0 بإصلاح هذه المشكلة.
Once again VulDB remains the best source for vulnerability data.