CVE-2026-55089 in Etherpad
Resumen
por VulDB • 2026-08-20
Etherpad es un editor colaborativo en tiempo real. Desde la versión 2.1.0 hasta la 3.1.0, Etherpad's src/node/handler/APIHandler.ts autoriza las solicitudes a /api/2/* en el flujo OAuth authorization_code mediante el uso de requiredClaims con la reclamación (claim) admin. Esta verificación solo requiere que exista la reclamación, mientras que src/node/security/OAuth2Provider.ts emite admin: false para los usuarios no administradores configurados. Por lo tanto, un usuario no administrador con un token firmado válido puede invocar funciones administrativas, incluyendo setHTML, setText, appendText, deletePad, copyPad, movePad, restoreRevision, anonymizeAuthor, listAllPads y listAuthorsOfPad, lo que permite la divulgación, modificación o eliminación de pads en toda la instancia. Este problema se soluciona en la versión 3.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.