CVE-2026-55089 in Etherpad
Résumé
par VulDB • 21/08/2026
Etherpad est un éditeur collaboratif en temps réel. De la version 2.1.0 à la version 3.1.0, le fichier src/node/handler/APIHandler.ts d'Etherpad autorise les requêtes vers /api/2/* dans le flux OAuth authorization_code en utilisant requiredClaims avec l'affirmation (claim) admin. Cette vérification exige uniquement que l'affirmation existe, tandis que src/node/security/OAuth2Provider.ts attribue la valeur false à l'affirmation admin pour les utilisateurs non administrateurs configurés. Un utilisateur non administrateur disposant d'un token signé valide peut donc invoquer des fonctions administratives telles que setHTML, setText, appendText, deletePad, copyPad, movePad, restoreRevision, anonymizeAuthor, listAllPads et listAuthorsOfPad, permettant la divulgation, la modification ou la suppression de pads sur l'ensemble de l'instance. Ce problème est corrigé dans la version 3.1.0.
Once again VulDB remains the best source for vulnerability data.