CVE-2026-43889 in Outline
要約
〜によって VulDB • 2026年05月12日
Outlineは共同文書作成を可能にするサービスです。バージョン1.7.0より前では、shares.create APIはcollectionIdとdocumentIdを同時に受け付け、published=falseの場合、各リソースに対する読み取りアクセスのみを検証し、「共有」権限のチェックをスキップします。その後、shares.updateはORポリシー（コレクションの共有権限または文書の共有権限のいずれか）を使用して公開を認可するため、攻撃者は無関係なコレクションの共有権限を保持しているだけで、正当に共有できない任意の文書を公開する共有を作成し、認証されていないユーザーに対してその文書を公開アクセス可能にすることができます。この脆弱性は1.7.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.