CVE-2026-108730
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Raven w wersjach od 2.0.0 do 3.0.0 zawiera podatność braku autoryzacji w starszych metodach w raven/api/raven_message.py, które pomijają sprawdzanie członkostwa w przestrzeni roboczej. Uwierzytelnieni nie-członkowie mogą wywołać get_messages_with_dates lub get_all_files_shared_in_channel z przewidywalnymi identyfikatorami kanałów, aby czytać historię kanałów Public oraz metadane plików kanałów Open/Public w różnych przestrzeniach roboczych.
Ocena ryzyka
Atakujący może uzyskać dostęp do historii wiadomości i metadanych plików w kanałach, do których nie należy, co prowadzi do wycieku informacji i naruszenia poufności. Ryzyko obejmuje również możliwość wykorzystania tych informacji do dalszych ataków.
Rekomendacja
Zaktualizuj Raven do wersji nowszej niż 3.0.0, jeśli jest dostępna, oraz wdrożyć sprawdzanie członkostwa w przestrzeni roboczej w metodach get_messages_with_dates i get_all_files_shared_in_channel. Monitoruj dostęp do tych metod i ogranicz ich dostępność dla nie-członków.
Inne podatności w Raven
Oryginalny opis (angielski, źródło NVD)
Raven 2.0.0 through 3.0.0 contains a missing authorization vulnerability in legacy methods in raven/api/raven_message.py that skip the workspace membership check. Authenticated non-members can call get_messages_with_dates or get_all_files_shared_in_channel with predictable channel IDs to read Public channel history and Open/Public channel file metadata across workspaces.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS