CVE-2017-0910
WysokieStreszczenie
W Zulip Server przed wersją 1.7.1 występuje podatność w systemie zaproszeń, która pozwala autoryzowanemu użytkownikowi z jednego realm na serwerze na utworzenie konta użytkownika w dowolnym innym realm.
Ocena ryzyka
Ta podatność może prowadzić do nieautoryzowanego dostępu do kont użytkowników w różnych realmach, co zagraża bezpieczeństwu danych organizacji.
Rekomendacja
Zaleca się aktualizację Zulip Server do wersji 1.7.1 lub nowszej, aby usunąć tę podatność.
Inne podatności w Zulip Server
Zobacz wszystkie- CVE-2026-102893Krytyczne
Zulip Server do wersji 12.1 zawiera podatność w backendzie GenericOpenIdConnectBackend, która nie odrzuca fałszywego claimu email_verified=false. Jeśli skonfigurowany dostawca tożsamości zwróci adres e-mail, którego uwierzytelniający użytkownik nie kontroluje, Zulip może zalogować użytkownika na istniejące konto dla tego adresu. Wymaga to błędnie skonfigurowanego zaufanego dostawcy tożsamości.
- CVE-2026-100404Średnie
Zulip Server w wersjach do 12.1 ujawnia gościom zdarzenia nowych wiadomości z publicznych kanałów, do których nie są zapisani. Gość może zarejestrować kolejkę zdarzeń żądającą wiadomości z niezasubskrybowanego kanału publicznego lub istniejąca kolejka może pozostać aktywna po odebraniu dostępu do kanału.
- CVE-2023-33186Wysokie
Zulip, narzędzie do współpracy zespołowej, ma podatność na atak typu cross-site scripting (XSS) w podpowiedziach na liście wiadomości. Atakujący może stworzyć złośliwy temat wiadomości, który po najechaniu kursorem przez ofiarę uruchomi kontrolowany przez niego kod JavaScript.
Oryginalny opis (angielski, źródło NVD)
In Zulip Server before 1.7.1, on a server with multiple realms, a vulnerability in the invitation system lets an authorized user of one realm on the server create a user account on any other realm.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS