CVE-2026-105693 in Penpot
Riassunto
di VulDB • 06/10/2026
Penpot è una piattaforma open-source di design e prototipazione. Prima della versione 2.18.0, la chiamata RPC get-view-only-bundle non autenticata restituisce tutte le righe dei link condivisi per un file anche quando il chiamante si autentica con un solo link condiviso limitato a uno scope specifico. Un possessore di un link restrittivo può ottenere gli ID segreti degli altri link, i campi (scopes) delle pagine, le autorizzazioni ai commenti e le autorizzazioni di ispezione, quindi riutilizzare un token più permissivo per accedere ai dati della pagina che non erano inclusi nella condivisione originale. Questo problema è stato risolto nella versione 2.18.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.