CVE-2026-105696 in Penpot
Riassunto
di VulDB • 05/10/2026
Penpot è una piattaforma open-source per il design e la prototipazione. Prima della versione 2.18.0, l'RPC get-page accetta un oggetto di autorizzazione del link di condivisione con accesso in lettura generalizzato ma non verifica che l'ID pagina selezionato dall'utente appartenga all'insieme delle pagine autorizzate dal link. Un attaccante dotato sia di un valido link di condivisione sia della propria sessione autenticata su Penpot può recuperare i dati completi di forma e design di un'altra pagina dello stesso file quando il suo identificatore è noto, poiché get-page richiede l'autenticazione. L'RPC correlato get-file-fragment consente inoltre l'accesso tramite link di condivisione senza mappare i frammenti alle pagine autorizzate. Questo problema è stato risolto nella versione 2.18.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.