CVE-2026-105696 in Penpot
要約
〜によって VulDB • 2026年10月05日
Penpotはオープンソースのデザインおよびプロトタイピングプラットフォームです。バージョン2.18.0より前では、get-page RPCが共有リンク権限オブジェクトを受け取り、包括的な読み取りアクセスを許可しますが、呼び出し元が選択したpage-idがそのリンクで承認されたページセットに属しているかどうかを検証しません。有効な共有リンクと攻撃者自身の認証済みPenpotセッションの両方を持つ攻撃者は、get-page RPCには認証が必要であるため、識別子が知られている場合、同じファイル内の別のページの完全な形状およびデザインデータを取得できます。関連するget-file-fragment RPCもまた、フラグメントを承認されたページにマッピングすることなく共有リンクアクセスを許可します。この問題はバージョン2.18.0で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.