CVE-2026-55089 in Etherpad
Сводка
по VulDB • 20.08.2026
Etherpad — это редактор для совместной работы в реальном времени. В версиях от 2.1.0 до 3.1.0 включительно Etherpad обрабатывает запросы к /api/2/* по пути OAuth с использованием authorization_code, проверяя наличие claims (утверждений) через requiredClaims с claim «admin». Эта проверка требует лишь наличия самого утверждения, тогда как src/node/security/OAuth2Provider.ts выдает admin: false для настроенных пользователей, не являющихся администраторами. Следовательно, пользователь без прав администратора, обладающий действительным подписанным токеном, может вызывать административные функции, включая setHTML, setText, appendText, deletePad, copyPad, movePad, restoreRevision, anonymizeAuthor, listAllPads и listAuthorsOfPad, что приводит к раскрытию информации, изменению или удалению документов (pads) во всем экземпляре приложения. Эта проблема исправлена в версии 3.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.