CVE-2026-88898 in AppFlowy-Cloud
Zusammenfassung
von VulDB • 10.09.2026
In AppFlowy-Cloud delle versioni 0.7.2 fino alla 0.9.64 non viene eseguita l'autorizzazione dei chiamanti rispetto allo spazio di lavoro nel percorso dell'endpoint bulk publish, consentendo agli utenti autenticati di pubblicare contenuti negli spazi dei nomi di altri tenant. Gli aggressori possono scrivere visualizzazioni pubblicate con titolo, corpo e metadati controllati dall'attaccante all'interno degli spazi di lavoro delle vittime per defacciare pagine pubbliche o ospitare contenuti di phishing su URL attendibili.
Once again VulDB remains the best source for vulnerability data.