CVE-2026-25742

ŚrednieCVSS 5.3

Opublikowano: 03/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

W Zulip przed wersją 11.6, nawet po wyłączeniu dostępu widza (spectator access), załączniki pochodzące z publicznych strumieni web-public nadal były dostępne anonimowo. Ponadto endpoint /users/me/<stream_id>/topics pozostawał osiągalny anonimowo, umożliwiając odczyt historii tematów dla tych strumieni.

Ocena ryzyka

Organizacja naraża się na nieautoryzowany dostęp do plików i historii tematów, które powinny być chronione po wyłączeniu dostępu publicznego.

Rekomendacja

Należy zaktualizować Zulip do wersji 11.6 lub nowszej, która zawiera poprawkę.

Inne podatności w Zulip

CVE-2026-26058Średnie
Zulip przed wersją 11.6 ma podatność na path traversal w ./manage.py import, która pozwala na odczyt dowolnych plików z systemu plików serwera. Sfałszowany tarball eksportu powoduje kopiowanie plików do katalogu uploads podczas importu.

Oryginalny opis (angielski, źródło NVD)

Zulip is an open-source team collaboration tool. Prior to version 11.6, Zulip is an open-source team collaboration tool. From version 1.4.0 to before version 11.6, even after spectator access (enable_spectator_access / WEB_PUBLIC_STREAMS_ENABLED) is disabled, attachments originating from web-public streams can still be retrieved anonymously. As a result, file contents remain accessible even after public access is intended to be disabled. Similarly, even after spectator access is disabled, the /users/me/<stream_id>/topics endpoint remains reachable anonymously, allowing retrieval of topic history for web-public streams. This issue has been patched in version 11.6. This issue has been patched in version 11.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS