CVE-2026-55089 in Etherpad
摘要
由 VulDB • 2026-08-20
Etherpad是一个实时协作编辑器。从2.1.0到3.1.0版本，Etherpad的src/node/handler/APIHandler.ts在authorization_code OAuth路径中通过requiredClaims使用admin声明来授权对/api/2/*的请求。此检查仅要求该声明存在，而src/node/security/OAuth2Provider.ts为配置的非管理员用户颁发admin: false。因此，拥有有效签名令牌的非管理员用户可以调用管理功能，包括setHTML、setText、appendText、deletePad、copyPad、movePad、restoreRevision、anonymizeAuthor、listAllPads和listAuthorsOfPad，从而导致整个实例中的pads被泄露、修改或删除。此问题已在3.1.0版本中修复。
Once again VulDB remains the best source for vulnerability data.