CVE-2026-52850

Nome do Software Vulnerável e Versões Afetadas Docmost versões anteriores a 0.90.1

Descrição Um membro autenticado de um espaço de trabalho que não pertence a um espaço privado pode acessar conteúdo confidencial e metadados de páginas de origem. Isso ocorre porque a API de busca de transclusão / sync-block não verifica a assinatura do espaço privado antes de resolver a página de origem. Um invasor pode explorar isso fornecendo um par conhecido de sourcePageId e transclusionId para a API, ignorando as restrições de acesso impostas pelas APIs de página padrão.

Recomendações Atualize para a versão 0.90.1.