CVE-2026-28506

Outline, ortaklaşa dokümantasyon oluşturmaya olanak tanıyan bir servistir. 1.5.0 sürümünden önce, etkinlik günlüklerini almak için kullanılan events.list API uç noktası, filtreleme mekanizmasında bir mantık hatası içermektedir. Bu durum, herhangi bir kimliği doğrulanmış kullanıcının, söz konusu belgeler üzerindeki gerçek izinlerinden bağımsız olarak, koleksiyonu olmayan (örneğin Özel Taslaklar, Silinmiş Belgeler) belgelerle ilişkili etkinlik olaylarını almasına izin verir. Belge içeriği doğrudan açığa çıkmasa da bu güvenlik açığı hassas meta verileri (Belge Kimlikleri, kullanıcı etkinlik zaman damgaları ve Kalıcı Silme işleminin Belge Başlığı gibi bazı özel durumlar) sızdırır. Kritik olarak, silinen taslakların geçerli Belge Kimliklerinin sızdırılması, UUID rastgeleliğinin sağladığı korumayı ortadan kaldırarak saldırı karmaşıklığını düşürür ve yüksek önem dereceli IDOR saldırılarının (documents.restore işleminde tanımlanan gibi) kolayca istismar edilmesine yol açar. 1.5.0 sürümü bu sorunu düzeltmektedir.