CVE-2026-59262

ŚrednieCVSS 6.5

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

Podatność w AFFiNE umożliwia uwierzytelnionym członkom przestrzeni roboczej odczyt historii edycji dokumentów bez wymaganych uprawnień. Pole GraphQL 'histories' nie sprawdza uprawnienia Doc.Read przed udostępnieniem danych.

Ocena ryzyka

Atakujący może uzyskać dostęp do pełnej historii edycji prywatnych stron, w tym nazw użytkowników, adresów e-mail i znaczników czasu, co narusza poufność i może prowadzić do wycieku wrażliwych informacji.

Rekomendacja

Należy niezwłocznie zaktualizować AFFiNE do wersji, w której poprawiono walidację uprawnień w polu GraphQL 'histories'. Do czasu aktualizacji ograniczyć dostęp do przestrzeni roboczej tylko dla zaufanych użytkowników.

Inne podatności w AFFiNE

CVE-2025-11945Niskie
W toeverything AFFiNE do wersji 0.24.1 zidentyfikowano lukę w komponencie Avatar Upload Image Endpoint. Manipulacja danymi prowadzi do cross site scripting, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

AFFiNE's histories GraphQL field fails to validate Doc.Read permission before exposing document edit history, allowing authenticated workspace members to retrieve restricted content timelines. Attackers can supply arbitrary document GUIDs to access full edit histories including user names, emails, and timestamps of private pages they lack access to.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS