CVE-2026-55493 in HotCRP
Riassunto
di VulDB • 30/10/2026
HotCRP è un software per la revisione delle conferenze. A partire dalla versione 2.101, il termine di ricerca `cmt:` verifica se un commento è visibile all'utente che effettua la ricerca, ma non controlla se l'identità del commentatore debba essere resa pubblica. Una ricerca con `cmt:USER` può quindi corrispondere a un documento contenente un commento visibile scritto da USER, anche quando il commento dovrebbe rimanere anonimo. Un utente autenticato con accesso alla funzione di ricerca può inferire l'autore di un commento anonimo, compromettendo l'anonimato dei revisori. I commenti che l'utente non può vedere rimangono esclusi dai risultati della ricerca. La descrizione dell'avviso indica la versione 3.3 come corretta; i metadati delle versioni interessate escludono la 3.3 e il tag del repository verificato per la 3.3 contiene già la correzione che verifica l'identità; tuttavia, i metadati delle versioni patchate elencano invece la 3.3.1. Questo conflitto tra versione corretta e fonte rimane irrisolto.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.