CVE-2026-71247

Nome do Software Vulnerável e Versões Afetadas Documenso (versões afetadas não especificadas)

Descrição Na interface de assinatura de documentos ao vivo, o manipulador sign-field-with-token.ts permite que um destinatário com a função ASSISTANT recupere e preencha campos pertencentes a qualquer destinatário ainda não assinado no mesmo envelope que possua uma ordem de assinatura posterior ou igual. Isso ocorre porque o manipulador realiza o upsert de um registro de Assinatura vinculado ao recipientId do campo alvo sem verificar se o field.type é SIGNATURE ou se o destinatário atuante é o proprietário do campo. Consequentemente, em documentos de assinatura sequencial, um destinatário assistente pode forjar o campo de assinatura de outro signatário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.