CVE-2026-25742
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W Zulip przed wersją 11.6, nawet po wyłączeniu dostępu widza (spectator access), załączniki pochodzące z publicznych strumieni web-public nadal były dostępne anonimowo. Ponadto endpoint /users/me/<stream_id>/topics pozostawał osiągalny anonimowo, umożliwiając odczyt historii tematów dla tych strumieni.
Ocena ryzyka
Organizacja naraża się na nieautoryzowany dostęp do plików i historii tematów, które powinny być chronione po wyłączeniu dostępu publicznego.
Rekomendacja
Należy zaktualizować Zulip do wersji 11.6 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Zulip is an open-source team collaboration tool. Prior to version 11.6, Zulip is an open-source team collaboration tool. From version 1.4.0 to before version 11.6, even after spectator access (enable_spectator_access / WEB_PUBLIC_STREAMS_ENABLED) is disabled, attachments originating from web-public streams can still be retrieved anonymously. As a result, file contents remain accessible even after public access is intended to be disabled. Similarly, even after spectator access is disabled, the /users/me/<stream_id>/topics endpoint remains reachable anonymously, allowing retrieval of topic history for web-public streams. This issue has been patched in version 11.6. This issue has been patched in version 11.6.