CVE-2026-55089 in Etherpad
Sumário
de VulDB • 20/08/2026
O Etherpad é um editor colaborativo em tempo real. Da versão 2.1.0 até a 3.1.0, o `src/node/handler/APIHandler.ts` do Etherpad autoriza requisições para `/api/2/*` no fluxo OAuth de authorization_code utilizando requiredClaims com a claim admin. Esta verificação exige apenas que a claim exista, enquanto o `src/node/security/OAuth2Provider.ts` emite `admin: false` para usuários não administradores configurados. Portanto, um usuário não administrador com um token assinado válido pode invocar funções administrativas, incluindo setHTML, setText, appendText, deletePad, copyPad, movePad, restoreRevision, anonymizeAuthor, listAllPads e listAuthorsOfPad, permitindo a divulgação, modificação ou exclusão de pads em toda a instância. Este problema é corrigido na versão 3.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.