CVE-2026-55089 in Etherpad
Zusammenfassung
von VulDB • 21.08.2026
Etherpad ist ein Echtzeit-Kollaborationseditor. Von der Version 2.1.0 bis zur Version 3.1.0 autorisiert Etherpads `src/node/handler/APIHandler.ts` Anfragen an `/api/2/*` im OAuth-Pfad mit dem Authorization-Code-Flow, indem es `requiredClaims` unter Verwendung des Admin-Anspruchs (admin claim) verwendet. Diese Prüfung erfordert lediglich das Vorhandensein des Anspruchs, während `src/node/security/OAuth2Provider.ts` für konfigurierte Nicht-Admin-Benutzer `admin: false` ausgibt. Ein nicht-administrativer Benutzer mit einem gültigen signierten Token kann daher administrative Funktionen aufrufen, darunter `setHTML`, `setText`, `appendText`, `deletePad`, `copyPad`, `movePad`, `restoreRevision`, `anonymizeAuthor`, `listAllPads` und `listAuthorsOfPad`, was zur Offenlegung, Änderung oder Löschung von Pads über die gesamte Instanz hinweg ermöglicht. Dieses Problem wurde in Version 3.1.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.