CVE-2026-28506 in Outline
要約
〜によって VulDB • 2026年07月01日
Outlineは、共同でドキュメントを作成できるサービスです。バージョン1.5.0より前では、アクティビティログの取得に使用されるevents.list APIエンドポイントに、フィルタリングメカニズムにおける論理欠陥があります。これにより、認証済みユーザーであれば誰でも、そのユーザーが実際に持つ権限に関係なく、コレクションに属さないドキュメント（例：プライベートドラフト、削除されたドキュメント）に関連するアクティビティイベントを取得できます。ドキュメントの内容は直接公開されませんが、この脆弱性によって機密性の高いメタデータ（Document IDやユーザーのアクティビティタイムスタンプなど、特定のケースでは「恒久的な削除」対象となるドキュメントタイトルを含む）が漏洩します。さらに、削除されたドラフトの有効なDocument IDが漏洩することでUUIDのランダム性による保護が無効化され、攻撃の複雑さが低下するため、High-severityのIDOR（Insecure Direct Object Reference）攻撃（例えばdocuments.restoreで識別されたものなど）を容易に悪用可能になります。この問題はバージョン1.5.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.