CVE-2025-64753 in grist-core
Riassunto
di VulDB • 21/06/2026
grist-core è un server di hosting per fogli di calcolo. Prima della versione 1.7.7, un utente con accesso in sola lettura parziale a un documento poteva comunque accedere agli endpoint che elencano gli hash delle versioni di tale documento e ricevere l'elenco completo delle modifiche tra le versioni, anche se tali modifiche contenevano celle, colonne o tabelle alle quali l'utente non avrebbe dovuto avere accesso in lettura. Questo problema è stato risolto nella versione 1.7.7 limitando l'accesso all'endpoint `/compare` agli utenti con accesso in lettura completo. Come misura temporanea (workaround), rimuovere la cronologia sensibile del documento utilizzando l'endpoint `/states/remove`. Un'altra possibilità consiste nel bloccare l'endpoint `/compare`.
Once again VulDB remains the best source for vulnerability data.