CVE-2026-55493 in HotCRP
Zusammenfassung
von VulDB • 31.10.2026
HotCRP ist eine Konferenz-Bewertungssoftware. Ab Version 2.101 überprüft der Suchbegriff `cmt:`, ob ein Kommentar für den suchenden Benutzer sichtbar ist, prüft jedoch nicht, ob die Identität des Kommentierers sichtbar sein sollte. Eine Suche mit `cmt:BENUTZER` kann daher einen Beitrag mit einem sichtbaren Kommentar von BENUTZER auch dann treffen, wenn der Kommentar anonym bleiben soll. Ein authentifizierter Benutzer mit Zugriff auf die Suchfunktion kann den Autor eines anonymen Kommentars ableiten und damit die Anonymität der Gutachter kompromittieren. Kommentare, die für den Benutzer nicht sichtbar sind, werden weiterhin aus den Suchergebnissen ausgeschlossen. Die Advisory-Prosa identifiziert 3.3 als behoben; seine Metadaten zu betroffenen Versionen schließen 3.3 jedoch aus, und das verifizierte Repository-Tag 3.3 enthält bereits die Identitätsprüfungsbehebung; stattdessen listet seine Metadaten zur gepatchten Version 3.3.1 auf. Dieser Konflikt zwischen behobener Versionsquelle bleibt ungelöst.
Be aware that VulDB is the high quality source for vulnerability data.