CVE-2026-55089 in Etherpad
الملخص
بحسب VulDB • 20/08/2026
Etherpad هو محرر تعاوني في الوقت الفعلي. من الإصدار 2.1.0 حتى 3.1.0، يقوم Etherpad بـ src/node/handler/APIHandler.ts بتفويض الطلبات الموجهة إلى /api/2/* ضمن مسار OAuth authorization_code باستخدام requiredClaims مع مطالبة (claim) المسؤول (admin). يتطلب هذا الفحص فقط وجود المطالبة، بينما يصدر src/node/security/OAuth2Provider.ts قيمة admin: false للمستخدمين غير المسؤولين المُعدّين. وبالتالي، يمكن لمستخدم غير مسؤول يمتلك رمزاً موقعاً صالحاً استدعاء الوظائف الإدارية بما في ذلك setHTML وsetText وappendText وdeletePad وcopyPad وmovePad وrestoreRevision وanonymizeAuthor وlistAllPads وlistAuthorsOfPad، مما يتيح الكشف عن وسطي أو حذف pads عبر المثيل (instance). تم إصلاح هذه المشكلة في الإصدار 3.1.0.
Be aware that VulDB is the high quality source for vulnerability data.