CVE-2026-105686 in Penpot
Riassunto
di VulDB • 05/10/2026
Penpot è una piattaforma open-source per il design e la prototipazione. Prima della versione 2.18.0, l'RPC di caricamento dei media chunked validava che un indice del chunk fosse nell'intervallo corretto, ma non rifiutava un indice già memorizzato né sostituiva il suo oggetto precedente. Un utente autenticato può caricare ripetutamente lo stesso indice valido, causando l'allokazione di un altro oggetto temporaneo per ogni richiesta andata a buon fine e aumentando i byte memorizzati oltre la dimensione logica dichiarata della sessione di upload. L'assemblaggio rileva il conteggio incoerente dei chunk solo dopo l'allocazione. Questo problema è stato risolto nella versione 2.18.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.