CVE-2026-105688

Nome do Software Vulnerável e Versões Afetadas Penpot versões anteriores a 2.18.0

Description Nos caminhos de create-team-invitations e de aceitação de convites, um administrador de equipe que não seja o proprietário pode atribuir a função de proprietário a outra conta. Isso ocorre porque as funções de convite são persistidas e aplicadas sem a verificação de teto de função (role-ceiling check) utilizada pela função update-team-member-role(). Um administrador pode explorar isso para criar múltiplos proprietários e, subsequentemente, obter controle exclusivo de proprietário sobre a equipe.

Recommendations Atualize para a versão 2.18.0.