CVE-2022-31017

Versões 2.1.0 a 5.2 do Zulip

O problema está relacionado a um erro de lógica no Zulip, uma ferramenta de colaboração em equipe de código aberto. Quando um fluxo configurado como privado com histórico protegido é editado, o servidor envia incorretamente um evento de API que inclui a mensagem editada a todos os assinantes atuais do fluxo. Esse evento de API é ignorado pelos clientes oficiais, mas pode ser observado usando um cliente modificado ou as ferramentas de desenvolvedor do navegador.

Para as versões 2.1.0 a 5.2, atualize para o Zulip Server 5.3 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso a fluxos editados para minimizar o risco de exploração.