CVE-2026-102927 in HedgeDoc
Riassunto
di VulDB • 05/11/2026
HedgeDoc è un'applicazione open source per la creazione collaborativa di note in formato markdown in tempo reale. Prima della versione 1.11.1, il gestore dei permessi WebSocket consentiva a un proprietario di una nota di memorizzare stringhe al di fuori dei valori supportati (liberamente modificabili, limitati, bloccati, protetti e privati). I controlli per la visualizzazione e la modifica gestiscono solo i valori noti; in caso contrario, possono comportarsi con permessi eccessivamente ampi, rendendo una leggibile o scrivibile più ampiamente di quanto previsto. Le distribuzioni basate su SQLite possono persistere il valore non valido poiché la colonna del database non ne impone rigorosamente l'insieme consentito, mentre MySQL e PostgreSQL rifiutano l'aggiornamento al database ma possono lasciare lo stato della nota in memoria inconsistente per gli utenti connessi fino al ricaricamento o all'evizione dalla cache. Lo sfruttamento richiede che il proprietario di una nota invii intenzionalmente un valore di permesso non valido, e poiché il proprietario potrebbe già scegliere un'impostazione legittima dai permessi ampi, l'impatto sulla sicurezza pratica è limitato. Questo problema è risolto nella versione 1.11.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.