CVE-2026-50554

Nome do Software Vulnerável e Versões Afetadas note-mark (versões afetadas não especificadas)

Description Um usuário não autenticado pode acessar metadados de notas excluídas logicamente (soft-deleted) pertencentes a livros públicos. Isso ocorre porque o endpoint '/api/books/{bookID}/notes' permite o uso de um parâmetro de consulta deleted que ignora o escopo de exclusão lógica, mas ainda respeita a flag de visibilidade pública. Consequentemente, um invasor pode enumerar o título, slug e timestamps de notas que o proprietário pretendia remover da visualização pública. O problema está localizado na função GetNotesByBookID() dentro do arquivo backend/services/notes.go.

Recommendations Restrinja a listagem de notas excluídas logicamente exclusivamente ao proprietário do livro, garantindo que o ramo de autorização is public não seja respeitado quando o parâmetro deleted for definido como true. Como mitigação temporária, evite usar o parâmetro deleted no endpoint '/api/books/{bookID}/notes'.