CVE-2026-115474
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Zulip to narzędzie open-source do współpracy zespołowej. Od wersji 8.0 do 12.2, w organizacjach, w których ustawienie 'Who can view all other users in the organization' ograniczało gościom przeglądanie innych użytkowników, zapisywanie lub edytowanie szkicu wiadomości bezpośredniej nie weryfikowało, czy nadawca ma dostęp do odbiorców szkicu. Gość mógł w ten sposób uzyskać dostęp do informacji profilowych użytkowników, którzy w przeciwnym razie byliby ograniczeni, bez wysyłania wiadomości. Organizacje, które nie ograniczały dostępu gości, nie były dotknięte. Problem naprawiono w wersji 12.2.
Ocena ryzyka
Gość może uzyskać dostęp do informacji profilowych użytkowników, którzy powinni być dla niego niewidoczni, naruszając ustawienia prywatności organizacji.
Rekomendacja
Zaktualizuj Zulip do wersji 12.2 lub nowszej, która zawiera poprawkę weryfikacji dostępu do odbiorców szkicu wiadomości bezpośredniej.
Inne podatności w Zulip
Zobacz wszystkie- CVE-2026-115574Średnie
Zulip to narzędzie open-source do współpracy zespołowej. Od wersji 11.0 do 12.2 organizacje z włączonymi kanałami publicznymi w sieci udostępniały endpoint GET /json/users wylogowanym widzom, a brak sprawdzenia kontroli dostępu pozwalał parametrowi include_custom_profile_fields=true zwracać wartości niestandardowych pól profilu każdego użytkownika oprócz udokumentowanych ograniczonych danych katalogu. Ujawniało to te wartości niezalogowanym odwiedzającym. Problem naprawiono w wersji 12.2.
- CVE-2026-26058Średnie
Zulip przed wersją 11.6 ma podatność na path traversal w ./manage.py import, która pozwala na odczyt dowolnych plików z systemu plików serwera. Sfałszowany tarball eksportu powoduje kopiowanie plików do katalogu uploads podczas importu.
- CVE-2026-25742Średnie
W Zulip przed wersją 11.6, nawet po wyłączeniu dostępu widza (spectator access), załączniki pochodzące z publicznych strumieni web-public nadal były dostępne anonimowo. Ponadto endpoint /users/me/<stream_id>/topics pozostawał osiągalny anonimowo, umożliwiając odczyt historii tematów dla tych strumieni.
Oryginalny opis (angielski, źródło NVD)
Zulip is an open-source team collaboration tool. From 8.0 until 12.2, in organizations where the Who can view all other users in the organization setting restricted guests from viewing other users, saving or editing a direct message draft did not verify that the sender could access the draft recipients. A guest could thereby gain access to otherwise restricted users' profile information without sending a message. Organizations that did not restrict guest access were unaffected. This issue is fixed in version 12.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS