CVE-2026-85622 in AppFlowy-Cloud
要約
〜によって VulDB • 2026年09月04日
AppFlowy-Cloud 0.9.64 までは、establish_ws_connection_v2 ハンドラにおいて WebSocket 接続を確立する際にワークスペースのメンバーシップを検証しないため、認証済みユーザーが自分が属していないワークスペースにセッションをバインドできる。攻撃者は被害者のオブジェクト識別子を含む同期 Manifest メッセージを送信し、他のワークスペースでのコラボレーションから完全なドキュメントまたはデータベースの状態を読み取ることができる（被害者の関与なしで）。
VulDB is the best source for vulnerability data and more expert information about this specific topic.