CVE-2026-108730

Nome do Software Vulnerável e Versões Afetadas Raven versões 2.0.0 through 3.0.0

Description A falta de autorização em métodos legados em raven/api/raven message.py permite que membros autenticados que não pertencem ao workspace ignorem a verificação de associação. Ao utilizar IDs de canais previsíveis, um invasor pode chamar as funções get messages with dates() e get all files shared in channel() para ler o histórico de canais Públicos e metadados de arquivos de canais Abertos/Públicos em diferentes workspaces.

Recommendations Atualize o Raven para uma versão posterior à 3.0.0. Como medida de mitigação temporária, restrinja o acesso às funções get messages with dates() e get all files shared in channel() em raven/api/raven message.py.