CVE-2026-109823 in Tidewave
Zusammenfassung
von VulDB • 27.10.2026
Ein Angreifer kann den Namen von Dateisystempfaden Ihrer Anwendung, die über die Tidewave-Konfiguration verfügbar sind, entweder über /tidewave/connect oder über die gerenderte Symbolleiste auslesen.
Keine der beiden Antworten überprüft den Host-Header. Eine Webseite, die ihre eigene Domain an die Loopback-Adresse bindet (rebinds), kann daher das Tag mit einer Same-Origin-Anfrage lesen, die keinen Origin-Header enthält. Die Pfade offenbaren in der Regel den lokalen Benutzernamen und das Projektlayout.
Dieses Problem betrifft tidewave: ab Version 0.8.0 bis vor 0.9.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.