CVE-2026-18276

Nome do Software Vulnerável e Versões Afetadas Scripta eScriptorium versões anteriores a 26.04.2

Descrição A falta de autorização no consumidor de websocket permite que um usuário remoto autenticado se inscreva no fluxo de eventos de qualquer documento. Isso ocorre porque os valores object cls e object pk de uma mensagem de join-room são passados para a função group add() sem uma verificação de acesso, permitindo que o observador monitore a atividade de segmentação, transcrição, importação, exportação e treinamento de outro usuário.

Recomendações Atualize o Scripta eScriptorium para a versão 26.04.2 ou posterior.