CVE-2026-43889

Outline kollektiv sənədləşdirməyə imkan verən bir xidmətdir. 1.7.0 versiyasından əvvəl shares.create API-ı həm collectionId, həm də documentId parametrlərini eyni vaxtda qəbul edir və published=false olduqda yalnız hər biri üçün oxuma girişini yoxlayır — "share" icazəsinin yoxlanılmasını ötürür. Sonrakı shares.update prosesi nəşri OR siyasətindən istifadə edərək təsdiqləyir (kolleksiyanı paylaşa bilər VƏ YA sənədi paylaşa bilər), buna görə də əlaqəsiz bir kolleksiya üzrə paylaşım icazəsi olan hücumçu, qanuni şəkildə paylaşa bilmədiyi istənilən sənədi açıq edən paylaşımı nəşr edə bilər ki, bu da həmin sənədi autentifikasiya olunmamış istifadəçilər üçün publicly əlçatan edir. Bu zəiflik 1.7.0 versiyasında aradan qaldırılıb.