CVE-2026-56773
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W Teable v2 brak adnotacji @Permissions w kontrolerze REST API dla punktów końcowych ORPC umożliwia każdemu uwierzytelnionemu użytkownikowi ominięcie kontroli autoryzacji. Atakujący mogą odczytywać schematy tabel, tworzyć tabele oraz modyfikować lub usuwać rekordy w różnych bazach i tabelach.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do danych, ich modyfikację lub usunięcie, co może prowadzić do naruszenia poufności i integralności informacji.
Rekomendacja
Należy natychmiast zaktualizować Teable do wersji, w której dodano odpowiednie adnotacje @Permissions na wszystkich punktach końcowych ORPC, lub zastosować tymczasowe reguły firewall blokujące dostęp do podatnych endpointów.
Inne podatności w Teable
Zobacz wszystkie- CVE-2026-56781Średnie
Podatność w Teable przed 2026-06-15T04-43-24Z.1912 umożliwia anonimowym atakującym dostęp do ukrytych danych pól poprzez podanie dowolnych identyfikatorów pól w parametrze projekcji endpointu widoku udostępnionego. Atakujący mogą odczytać wartości pól, które powinny być niedostępne publicznie.
- CVE-2026-9566Średnie
W teableio teable do wersji 1.9.x w komponencie Sign-up w pliku apps/nextjs-app/src/features/auth/pages/LoginPage.tsx występuje podatność na cross site scripting (XSS) poprzez manipulację argumentem redirect. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Teable's v2 REST API controller lacks @Permissions metadata on ORPC endpoints, allowing any authenticated user to bypass authorization checks. Attackers can read table schemas, create tables, and modify or delete records across bases and tables via endpoints like GET /api/v2/tables/get and POST /api/v2/tables/updateRecords.