PT-2026-106214

CVE-2026-105693

Publicado

2026-10-05

Atualizado

2026-10-06

Descrição por

CVSS 3.1

5.3

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Penpot versões anteriores a 2.18.0

Description Existe um problema no RPC (Remote Procedure Call) get-view-only-bundle não autenticado que retorna todas as linhas de links de compartilhamento de um arquivo, independentemente de o chamador ter se autenticado com apenas um link de compartilhamento com escopo definido. Um detentor de um link restritivo pode obter IDs secretos, escopos de página, permissões de comentário e permissões de inspeção de outros links. Essas informações podem ser usadas para repetir um token mais permissivo para acessar dados de página que não estavam incluídos no compartilhamento original.

Recommendations Atualizar para a versão 2.18.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Iaohkut-From-Nightwolf-Team

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados