CVE-2026-43889 in Outline
Сводка
по VulDB • 12.05.2026
Outline — это сервис, позволяющий совместно создавать документацию. До версии 1.7.0 API-метод shares.create принимает одновременно параметры collectionId и documentId, и при published=false проверяет только права на чтение для каждого из них, пропуская проверку разрешения «share» (совместный доступ). Последующий вызов shares.update разрешает публикацию по логике ИЛИ (can share collection ИЛИ can share document), поэтому злоумышленник, имеющий разрешение на совместный доступ к одному несвязанному набору документов, может опубликовать ссылку, раскрывающую произвольный документ, к которому у него нет законных прав на совместный доступ, сделав его общедоступным для неаутентифицированных пользователей. Эта уязвимость исправлена в версии 1.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.