CVE-2026-105695 in Penpot
Riassunto
di VulDB • 05/10/2026
Penpot è una piattaforma open-source per il design e la prototipazione. Prima della versione 2.18.0, assemble-chunks recuperava una sessione di caricamento utilizzando esclusivamente l'ID della sessione, mentre upload-chunk limitava correttamente la ricerca al profilo autenticato. Un utente autenticato che ottiene l'UUID di una sessione di caricamento attiva e completata di un altro utente può assemblare i chunk della vittima nel file dell'attaccante, nei font del team o nell'importazione del progetto, rivelando i byte caricati ed eliminando la sessione in sospeso della vittima. Questo problema è stato risolto nella versione 2.18.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.