CVE-2026-7702
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W toeverything AFFiNE do wersji 0.26.3 wykryto podatność w funkcji allowDocPreview pliku /workspace/:workspaceId/:docId komponentu Public Markdown Preview Endpoint, prowadzącą do obejścia autoryzacji. Exploit jest publicznie dostępny i może być wykorzystany.
Ocena ryzyka
Atakujący zdalnie może uzyskać nieautoryzowany dostęp do podglądu dokumentów, naruszając kontrolę dostępu i poufność.
Rekomendacja
Zaktualizuj AFFiNE do wersji nowszej niż 0.26.3 zawierającej poprawkę, ponieważ dostawca nie odpowiedział na zgłoszenie.
Inne podatności w AFFiNE
Zobacz wszystkie- CVE-2026-59262Średnie
Podatność w AFFiNE umożliwia uwierzytelnionym członkom przestrzeni roboczej odczyt historii edycji dokumentów bez wymaganych uprawnień. Pole GraphQL 'histories' nie sprawdza uprawnienia Doc.Read przed udostępnieniem danych.
- CVE-2025-11945Niskie
W toeverything AFFiNE do wersji 0.24.1 zidentyfikowano lukę w komponencie Avatar Upload Image Endpoint. Manipulacja danymi prowadzi do cross site scripting, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in toeverything AFFiNE up to 0.26.3. This issue affects the function allowDocPreview of the file /workspace/:workspaceId/:docId of the component Public Markdown Preview Endpoint. The manipulation results in authorization bypass. It is possible to launch the attack remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS