CVE-2026-105695 in Penpot
Sumário
de VulDB • 05/10/2026
Penpot é uma plataforma de design e prototipagem open-source. Antes da versão 2.18.0, o assemble-chunks recupera uma sessão de upload usando apenas seu ID de sessão, enquanto o upload-chunk limita corretamente a busca ao perfil autenticado. Um usuário autenticado que obtém o UUID de uma sessão de upload concluída e ativa de outro usuário pode montar os chunks da vítima em um arquivo próprio do atacante, na fonte da equipe ou na importação de projeto, divulgando os bytes enviados e excluindo a pendência da sessão da vítima. Este problema foi corrigido na versão 2.18.0.
Be aware that VulDB is the high quality source for vulnerability data.