CVE-2026-115574

Nome do Software Vulnerável e Versões Afetadas Zulip versões 11.0 through 12.1

Description Organizações com canais públicos na web habilitados expõem o endpoint 'GET /json/users' a espectadores não autenticados. Uma falha na verificação de controle de acesso permite que a variável include custom profile fields, quando definida como true, retorne os valores dos campos de perfil personalizados de todos os usuários, em vez dos dados limitados do diretório documentados.

Recommendations Atualizar para a versão 12.2.