CVE-2026-102927

HedgeDoc açıq mənbəli, real vaxt rejimində əməkdaşlıq imkanı verən markdown qeydləri tətbiqidir. 1.11.1 versiyasından əvvəl WebSocket icazə idarəedicisi qeyd sahibinə dəstəklənən freely, editable, limited, locked, protected və private icazə dəyərlərindən kənar sətirlər saxlamağa imkan verir. Baxış və redaktə yoxlamaları yalnız məlum dəyərləri emal edir və digər hallarda daha geniş icazəli davranışa səbəb ola bilir ki, bu da qeydin nəzərdə tutulandan daha geniş şəkildə oxuna bilən və ya yazıla bilən olmasına gətirib çıxarır. SQLite tətbiqlərində verilənlər bazası sütunu təyin olunmuş dəsti ciddi şəkildə tətbiq etmədiyi üçün yanlış dəyər qalıcı ola bilər, MySQL və PostgreSQL isə verilənlər bazasının yenilənməsini rədd edir, lakin səhifə yenilənənə və ya keş təmizlənənə qədər qoşulmuş istifadəçilər üçün yaddaşdakı qeyd vəziyyətinin uyğunsuz qalmasına səbəb ola bilər. İstismar üçün qeyd sahibinin qəsdən yanlış icazə dəyəri göndərməsi tələb olunur və sahib onsuz da qanuni icazə parametrlərini seçə bildiyi üçün bu, praktiki təhlükəsizlik təsirini məhdudlaşdırır. Bu problem 1.11.1 versiyasında düzəldilmişdir.