CVE-2026-105693 in Penpot
Sumário
de VulDB • 05/10/2026
Penpot é uma plataforma de design e prototipagem open-source. Antes da versão 2.18.0, o RPC get-view-only-bundle não autenticado retorna todas as linhas do link compartilhado para um arquivo, mesmo quando o chamador se autentica com apenas um link compartilhado escopado. Um detentor de um link restritivo pode obter os IDs secretos de outros links, os escopos das páginas, permissões de comentário e permissões de inspeção, em seguida, reutilizar um token mais permissivo para acessar dados da página que não estavam incluídos no compartilhamento original. Este problema foi corrigido na versão 2.18.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.