CVE-2026-26202

Penpot dizayn və kod əməkdaşlığı üçün açıq mənbəli dizayn alətidir. Versiya 2.13.2-dən əvvəl autentifikasiya olunmuş istifadəçi, `create-font-variant` RPC son nöqtəsində şrift məlumat bloku kimi yerli fayl yolunu (məsələn, `/etc/passwd`) təqdim etməklə serverdən ixtiyari faylları oxuya bilər ki, bu da faylın məzmununun "şrift" aktivı kimi saxlanılmasına və geri çağırılmasına səbəb olur. Bu, ixtiyari fayl oxuma zəifliyidir. Komanda redaktə icazələri olan hər hansı autentifikasiya olunmuş istifadəçi, host fayl sistemində Penpot backend prosesi üçün əlçatan olan ixtiyari faylları oxuya bilər. Bu, həssas sistem fayllarının, tətbiq gizli məlumatlarının, verilənlər bazası etibarnamələrinin və şəxsi açarların ifşa olunmasına gətirib çıxara bilər ki, bu da potensial olaraq serverin daha da kompromis edilməsinə imkan verir. Konteynerləşdirilmiş yerləşdirmələrdə təsir dairəsi konteyner fayl sistemi ilə məhdudlaşdırıla bilər, lakin mühit dəyişənləri, montaj edilmiş gizli məlumatlar və tətbiq konfiqurasiyası hələ də risk altındadır. Versiya 2.13.2 bu problem üçün yamanı ehtiva edir.