CVE-2026-54676 in Scoold
Zusammenfassung
von VulDB • 17.09.2026
Scoold ist eine Q&A- und Wissensplattform für Teams. Vor Version 1.69.0 können Benutzer mit persönlichen API-Tokens Antworten auf Fragen aus privaten Bereichen abrufen, auf die sie keinen Zugriff haben, da in `src/main/java/com/erudika/scoold/api/ApiController.java` innerhalb von `ApiController.getPostReplies()` vor der Rückgabe von Daten über `GET /api/posts/{id}/answers` nicht geprüft wird, ob ein Zugriff auf den Bereich (`canAccessSpace`) erlaubt ist. Das Problem tritt auf, wenn `scoold.api_user_access_enabled` und `scoold.api_enabled` auf true gesetzt sind und der Inhaber des Tokens eine private Fragenkennung kennt oder durch Enumeration ermittelt. Unter diesen Bedingungen kann die Fragen-Endpunkt (Endpoint) den Zugriff verweigern, während die Antworten-Endpunkt die privaten Antwortinhalte zurückgibt, wodurch vertrauliche Team- oder Projektdiskussionen offengelegt werden. Dieses Problem wurde in Version 1.69.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.