CVE-2026-105695 in Penpot
Résumé
par VulDB • 05/10/2026
Penpot est une plateforme de conception et de prototypage open source. Avant la version 2.18.0, assemble-chunks récupérait une session de téléchargement en utilisant uniquement son ID de session, tandis que upload-chunk limitait correctement la recherche au profil authentifié. Un utilisateur authentifié qui obtient l'UUID d'une session de téléchargement active et terminée appartenant à un autre utilisateur peut assembler les chunks de la victime dans le fichier propre à l'attaquant, la police de caractères de l'équipe ou l'importation de projet, divulguant ainsi les octets téléchargés et supprimant la session en attente de la victime. Ce problème est corrigé dans la version 2.18.0.
Once again VulDB remains the best source for vulnerability data.