CVE-2026-54677
ŚrednieCVSS 6.5Streszczenie
Scoold to platforma Q&A i wymiany wiedzy dla zespołów. Przed wersją 1.69.0 uwierzytelnieni użytkownicy niebędący członkami prywatnej przestrzeni mogą tworzyć treści w pytaniach należących do tej przestrzeni, ponieważ QuestionController.reply() i CommentController.createAjax() nie stosują sprawdzenia autoryzacji canAccessSpace używanego przez ścieżkę odczytu pytania. Przy scoold.is_default_space_public ustawionym na false i używaniu prywatnych przestrzeni użytkownik z ważną sesją i znanym lub możliwym do wyliczenia identyfikatorem pytania może wysyłać żądania do POST /question/{id} i POST /comment, powodując zapisanie odpowiedzi i komentarzy w wątku, którego nie może odczytać.
Ocena ryzyka
Pozwala to na nieautoryzowaną modyfikację prywatnych dyskusji i może wywołać powiadomienia ujawniające istnienie lub metadane prywatnej aktywności.
Rekomendacja
Zaktualizować Scoold do wersji 1.69.0, która zawiera poprawkę tego problemu.
Inne podatności w Scoold
Zobacz wszystkie- CVE-2026-54676Średnie
Scoold to platforma Q&A i wymiany wiedzy dla zespołów. Przed wersją 1.69.0 użytkownicy z osobistymi tokenami API mogą pobierać odpowiedzi z pytań w prywatnych przestrzeniach, do których nie mają dostępu, ponieważ ApiController.getPostReplies() nie stosuje canAccessSpace przed zwróceniem danych z GET /api/posts/{id}/answers. Problem występuje, gdy scoold.api_user_access_enabled i scoold.api_enabled są ustawione na true, a posiadacz tokena zna lub wylicza identyfikator prywatnego pytania. W takich warunkach endpoint pytania może odmówić dostępu, podczas gdy endpoint odpowiedzi zwraca treści prywatnych odpowiedzi.
- CVE-2026-39354Średnie
Scoold, platforma Q&A i dzielenia się wiedzą dla zespołów, zawiera lukę w autoryzacji, która pozwala każdemu zalogowanemu użytkownikowi z niskimi uprawnieniami nadpisać istniejące pytanie innego użytkownika. Wystarczy podać publiczne ID pytania jako parametr postId w żądaniu POST do /questions/ask. Luka występuje przed wersją 1.66.2.
- CVE-2026-34832Średnie
Scoold przed wersją 1.66.1 nie sprawdza uprawnień do usuwania komentarzy – każdy zalogowany użytkownik może usunąć komentarz innego użytkownika, znając jego ID. Brakuje weryfikacji własności obiektu ani uprawnień moderatora.
Oryginalny opis (angielski, źródło NVD)
Scoold is a Q&A and a knowledge sharing platform for teams. Prior to 1.69.0, authenticated users who are not members of a private space can create content in questions belonging to that space because src/main/java/com/erudika/scoold/controllers/QuestionController.java in QuestionController.reply() and src/main/java/com/erudika/scoold/controllers/CommentController.java in CommentController.createAjax() do not apply the canAccessSpace authorization check used by the question read path. With scoold.is_default_space_public set to false and private spaces in use, a user with a valid session and a known or enumerable question identifier can send requests to POST /question/{id} and POST /comment, causing replies and comments to be stored in a thread the user cannot read. This permits unauthorized modification of private discussions and can trigger notifications that reveal the existence or metadata of private activity. This issue is fixed in version 1.69.0.