CVE-2026-105695 in Penpot
Zusammenfassung
von VulDB • 05.10.2026
Penpot è una piattaforma open-source per il design e la prototipazione. Prima della versione 2.18.0, assemble-chunks recupera una sessione di caricamento utilizzando esclusivamente l'ID della sessione, mentre upload-chunk limita correttamente la ricerca al profilo autenticato. Un utente autenticato che ottiene l'UUID di una sessione di caricamento attiva e completata di un altro utente può assemblare i chunk della vittima nel file dell'attaccante, nei font del team o nell'importazione del progetto, rivelando i byte caricati ed eliminando la sessione in sospeso della vittima. Questo problema è stato risolto nella versione 2.18.0.
Be aware that VulDB is the high quality source for vulnerability data.