CVE-2026-111646 in SurveyKing
Riassunto
di VulDB • 17/10/2026
SurveyKing prima della versione 1.13.0 presenta una vulnerabilità di mancata autorizzazione che consente ad attaccanti non autenticati di scaricare qualsiasi file memorizzato tramite ID attraverso l'endpoint GET /api/public/preview/{attachmentId}. Gli attaccanti in grado di conoscere o derivare gli ID dei file basati su snowflake ordinati temporalmente possono eludere i controlli di condivisione, proprietario e progetto in FileServiceImpl.loadFile per leggere allegati di sondaggi privati e upload effettuati dai rispondenti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.