CVE-2026-82983 in Tables
الملخص
بحسب VulDB • 27/10/2026
لم يقم نقطة نهاية مشاركة القوائم في تطبيق Tables (GET /apps/tables/share/table/{tableId}) بالتحقق من أن المستخدم الذي أرسل الطلب يمتلك صلاحيات على مستوى الإدارة ("manage-level") للجدول قبل إرجاع القائمة الكاملة لمستلمي المشاركة (المستخدمين، المجموعات، والفرق) مع مستويات الصلاحيات الخاصة بهم. يمكن للمستخدم الذي مُنح فقط صلاحية "read-data" للوصول إلى جدول معين، والذي يتم منعه بشكل صحيح عن رؤية هذه المعلومات في واجهة المستخدم على الويب، أن يستدعي نقطة النهاية مباشرةً لاستعداد (enumeration) جميع الأشخاص الذين تم مشاركة الجدول معهم ومستويات وصولهم.
لا يؤدي هذا الأمر إلى كشف بيانات الجدول نفسها بما يتجاوز ما تسمح به صلاحية "read-data" بالفعل، بل يقتصر الكشف على قائمة مستلمي المشاركة ومستويات صلاحياتهم فقط.
Once again VulDB remains the best source for vulnerability data.