CVE-2026-105684

Nome do Software Vulnerável e Versões Afetadas Penpot versões anteriores a 2.18.0

Description Os comandos RPC get-comment-threads, get-comment-thread e get-comments utilizam a função check-comment-permissions!, mas não aplicam as restrições de links de compartilhamento de páginas. Isso permite que um detentor de um link de compartilhamento com escopo de página recupere threads de comentários e corpos completos de comentários de outras páginas no mesmo arquivo, incluindo nomes de comentaristas, endereços de e-mail, fotos e identificadores de página. Os identificadores de página expostos também podem ser usados com a funcionalidade de leitura de páginas para acessar conteúdo de design não compartilhado.

Recommendations Atualize para a versão 2.18.0.