CVE-2026-88898
ŚrednieCVSS 6.5Streszczenie
AppFlowy-Cloud w wersjach od 0.7.2 do 0.9.64 nie autoryzuje wywołujących względem workspace w ścieżce endpointu masowej publikacji, co pozwala uwierzytelnionym użytkownikom publikować treści w przestrzeniach innych najemców. Atakujący mogą zapisywać opublikowane widoki z kontrolowaną przez siebie treścią i metadanymi w workspace ofiar, aby deface'ować publiczne strony lub hostować treści phishingowe na zaufanych URL-ach.
Ocena ryzyka
Uwierzytelniony użytkownik może modyfikować treści w przestrzeniach innych organizacji, co prowadzi do defacementu i możliwości hostowania phishingu na zaufanych domenach.
Rekomendacja
Zaktualizuj AppFlowy-Cloud do wersji nowszej niż 0.9.64 i zweryfikuj uprawnienia endpointu masowej publikacji.
Inne podatności w AppFlowy-Cloud
Zobacz wszystkie- CVE-2026-85622Średnie
AppFlowy-Cloud do wersji 0.9.64 nie weryfikuje członkostwa w obszarze roboczym podczas ustanawiania połączeń WebSocket w handlerze establish_ws_connection_v2, co pozwala uwierzytelnionym użytkownikom na wiązanie sesji z obszarami roboczymi, do których nie należą. Atakujący mogą wysyłać wiadomości synchronizacji Manifest z identyfikatorami obiektów ofiary, aby odczytać pełny stan dokumentu lub bazy danych z kolaboracji w innych obszarach roboczych bez udziału ofiary.
- CVE-2026-85619Wysokie
AppFlowy-Cloud 0.9.64 nie weryfikuje, czy żądane obiekty collab należą do przestrzeni roboczej w kontrolach autoryzacji, co pozwala atakującym na dostęp do dokumentów i wierszy bazy danych w różnych przestrzeniach roboczych. Atakujący mogą podać identyfikator obiektu ofiary z własnym identyfikatorem przestrzeni roboczej, aby ominąć kontrolę dostępu i czytać, modyfikować lub usuwać dane między przestrzeniami roboczymi.
Oryginalny opis (angielski, źródło NVD)
AppFlowy-Cloud versions 0.7.2 through 0.9.64 fail to authorize callers against the workspace in the bulk publish endpoint path, allowing authenticated users to publish content into other tenants' namespaces. Attackers can write published views with attacker-controlled title, body and metadata into victim workspaces to deface public pages or host phishing content on trusted URLs.