CVE-2026-105696 in Penpot
Zusammenfassung
von VulDB • 05.10.2026
Penpot ist eine Open-Source-Plattform für Design und Prototyping. Vor Version 2.18.0 akzeptiert die get-page-RPC-Funktion ein Share-Link-Berechtigungsobjekt mit umfassendem Lesezugriff, überprüft jedoch nicht, ob die vom Aufrufer ausgewählte page-id zu der Menge der autorisierten Seiten des Links gehört. Ein Angreifer, der sowohl über einen gültigen Share-Link als auch über eine eigene authentifizierte Penpot-Sitzung verfügt, kann die vollständige Shape- und Design-Daten einer anderen Seite in derselben Datei abrufen, wenn deren Kennung bekannt ist, da get-page eine Authentifizierung erfordert. Die zugehörige RPC-Funktion get-file-fragment ermöglicht ebenfalls den Share-Link-Zugriff ohne Abbildung der Fragmente auf autorisierte Seiten. Dieses Problem wurde in Version 2.18.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.