CVE-2026-102927
Açıklama
HedgeDoc, açık kaynaklı ve gerçek zamanlı iş birliğine dayalı bir markdown not uygulamasıdır. 1.11.1 sürümünden önce, WebSocket izin yöneticisi, bir not sahibinin desteklenen freely, editable, limited, locked, protected ve private izin değerlerinin dışında dizgiler depolamasına izin vermektedir. Görüntüleme ve düzenleme kontrolleri yalnızca bilinen değerleri işler ve aksi takdirde izin verici davranışlara yol açarak bir notun amaçlanandan daha geniş kapsamda okunabilir veya yazılabilir olmasına neden olabilir. Veritabanı sütunu kümeyi kesin olarak zorlamadığı için SQLite dağıtımları geçersiz değeri kalıcı hale getirebilir; MySQL ve PostgreSQL ise veritabanı güncellemesini reddeder ancak yeniden yükleme veya önbellek tahliyesine kadar bağlı kullanıcılar için bellek içi not durumunun tutarsız kalmasına neden olabilir. İstismar edilmesi, not sahibinin kasıtlı olarak geçersiz bir izin değeri göndermesini gerektirir ve sahibi zaten meşru bir izin verici ayar seçebileceği için bu durum pratik güvenlik etkisini sınırlandırmaktadır. Bu sorun 1.11.1 versiyonunda düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hedgedoc hedgedoc | < 1.11.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.