CVE-2026-17613 in Penpot

Сводка

по MITRE • 05.08.2026

Penpot’s ::import-binfile RPC command lacks authorization on the optional file-id parameter, allowing any authenticated user to overwrite any files on the target server and subscribe to WebSocket events, enabling full data exfiltration and data poisoning.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• Ответственный: Certcc
• Резервировать: 27.07.2026
• Раскрытие: 05.08.2026
• Модерация: принято
• Вход: VDB-386240
• CPE: готов
• CWE: CWE-862 (Подтверждённый)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: Нет
• Деятельности: Низкий

Источники

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-17613
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-17613
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-17613/