CVE-2026-55664
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W Grist przed wersją 1.7.15 punkt końcowy GET /forms odczytywał metadane tabel i kolumn bez stosowania reguł dostępu do dokumentu i nie sprawdzał, czy żądana sekcja jest faktycznie formularzem. Użytkownik z częściowym dostępem do odczytu, w tym dostępem publicznym w publicznie widocznym dokumencie, mógł zażądać metadanych dowolnego widżetu i ujawnić strukturę tabel i kolumn, które reguły dostępu w przeciwnym razie ukrywałyby, nawet w dokumentach niezawierających formularzy.
Ocena ryzyka
Organizacja naraża się na wyciek wrażliwych informacji o strukturze danych, które mogą być wykorzystane do dalszych ataków lub naruszenia poufności, szczególnie w dokumentach udostępnionych publicznie.
Rekomendacja
Należy niezwłocznie zaktualizować Grist do wersji 1.7.15 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Grist
Zobacz wszystkie- CVE-2026-55665Wysokie
Grist przed wersją 1.7.15 zawierał dwie podatności na ataki XSS, w których wartość kontrolowana przez atakującego trafiała do atrybutu href linku bez walidacji schematu, umożliwiając wykonanie kodu JavaScript w kontekście ofiary po jednym kliknięciu. Na stronie wyboru konta parametr next był używany jako cel linku, a w dokumentacji tabeli GristDocTour kolumna Link_URL stawała się klikalnym przyciskiem, pozwalając edytorowi udostępnionego dokumentu na przechowywanie złośliwego adresu URL.
- CVE-2026-55659Wysokie
Grist to arkusz kalkulacyjny wykorzystujący Python jako język formuł. Przed wersją 1.7.15 kilka stron renderowanych po stronie serwera osadzało wartości kontrolowane przez użytkownika bez pełnego ich escapowania, co umożliwiało ataki XSS. Na głównej stronie aplikacji nazwa lub opis dokumentu ustawione przez edytora są renderowane na stronie ładowanej przez innych użytkowników. Na stronie końcowej przepływu OAuth2 parametr openerOrigin jest odbijany z powrotem do strony.
Oryginalny opis (angielski, źródło NVD)
Grist is spreadsheet software using Python as its formula language. Prior to 1.7.15, the GET /forms endpoint read table and column metadata without applying the document's access rules and did not check that the requested section was actually a form. A user with only partial read access, including public access on a publicly viewable document, could request the metadata of any widget and reveal table and column structure that access rules would otherwise hide, even in documents that contain no forms. This issue is fixed in version 1.7.15.