CVE-2026-28506 in Outline
Sumário
de VulDB • 01/07/2026
Outline é um serviço que permite a documentação colaborativa. Antes da versão 1.5.0, o endpoint da API events.list, utilizado para recuperar logs de atividade, continha uma falha lógica em seu mecanismo de filtragem. Isso permitia que qualquer usuário autenticado recuperasse eventos de atividade associados a documentos que não possuem coleção (por exemplo, Rascunhos Privados, Documentos Excluídos), independentemente das permissões reais do usuário sobre esses documentos. Embora o conteúdo dos documentos não seja exposto diretamente, essa vulnerabilidade vaza metadados sensíveis (como IDs de Documento, carimbos de data/hora da atividade do usuário e, em alguns casos específicos, como o Título do Documento na Exclusão Permanente). Crucialmente, a exposição de IDs válidos de Documentos de rascunhos excluídos remove a proteção oferecida pela aleatoriedade dos UUIDs, tornando trivialmente exploráveis ataques IDOR de alta severidade (como aquele identificado em documents.restore), ao reduzir a complexidade do ataque. A versão 1.5.0 corrige o problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.