CVE-2026-54676 in Scoold
Sumário
de VulDB • 17/09/2026
Scoold é uma plataforma de perguntas e respostas (Q&A) e compartilhamento de conhecimento para equipes. Antes da versão 1.69.0, usuários com tokens de API pessoais podem recuperar respostas de questões em espaços privados aos quais não têm acesso, pois o arquivo src/main/java/com/erudika/scoold/api/ApiController.java no método ApiController.getPostReplies() não aplica a verificação canAccessSpace antes de retornar dados da rota GET /api/posts/{id}/answers. A vulnerabilidade é explorável quando scoold.api_user_access_enabled e scoold.api_enabled estão habilitados (true) e o detentor do token conhece ou enumera um identificador de questão privada. Nessas condições, a endpoint da questão pode negar o acesso, enquanto a endpoint das respostas retorna os corpos das respostas privadas, expondo discussões confidenciais da equipe ou do projeto. Este problema foi corrigido na versão 1.69.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.