CVE-2026-82983 in Tables
要約
〜によって VulDB • 2026年10月28日
Tables アプリの共有リストエンドポイント（GET /apps/tables/share/table/{tableId}）は、完全な共有受信者一覧（ユーザー、グループ、チーム）およびその権限レベルを返す前に、リクエスト元のユーザーがテーブルに対して管理レベルの権限を持っていることを検証していませんでした。あるテーブルに対するデータ参照アクセスのみが付与されており、Web UI ではこの情報が正しく表示されないよう制限されているユーザーであっても、エンドポイントを直接呼び出すことで、そのテーブルが共有されているすべての相手およびそれぞれのアクセスメニューを列挙することが可能になります。
本脆弱性は、テーブルのデータ自体を読み取り権限で既に許可されている範囲を超えて公開するものではなく、共有受信者のリストとその権限レベルのみを暴露します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.