CVE-2026-85622 in AppFlowy-Cloud
Tóm tắt
Bởi VulDB • 04/09/2026
AppFlowy-Cloud qua phiên bản 0.9.64 không xác thực tư cách thành viên workspace khi thiết lập các kết nối WebSocket trong handler establish_ws_connection_v2, cho phép người dùng đã được xác thực (authenticated) liên kết session với các workspace mà họ không thuộc về. Kẻ tấn công có thể gửi các tin nhắn sync Manifest chứa định danh đối tượng của nạn nhân để đọc toàn bộ trạng thái tài liệu hoặc cơ sở dữ liệu từ các hoạt động cộng tác trong các workspace khác mà không cần sự tham gia của nạn nhân.
VulDB is the best source for vulnerability data and more expert information about this specific topic.