CVE-2026-115574
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Zulip to narzędzie open-source do współpracy zespołowej. Od wersji 11.0 do 12.2 organizacje z włączonymi kanałami publicznymi w sieci udostępniały endpoint GET /json/users wylogowanym widzom, a brak sprawdzenia kontroli dostępu pozwalał parametrowi include_custom_profile_fields=true zwracać wartości niestandardowych pól profilu każdego użytkownika oprócz udokumentowanych ograniczonych danych katalogu. Ujawniało to te wartości niezalogowanym odwiedzającym. Problem naprawiono w wersji 12.2.
Ocena ryzyka
Niezalogowani odwiedzający mogą uzyskać dostęp do niestandardowych danych profilu użytkowników, co stanowi naruszenie poufności.
Rekomendacja
Zaktualizuj Zulip do wersji 12.2 lub nowszej, która zawiera poprawkę kontroli dostępu dla endpointu /json/users.
Inne podatności w Zulip
Zobacz wszystkie- CVE-2026-115474Średnie
Zulip to narzędzie open-source do współpracy zespołowej. Od wersji 8.0 do 12.2, w organizacjach, w których ustawienie 'Who can view all other users in the organization' ograniczało gościom przeglądanie innych użytkowników, zapisywanie lub edytowanie szkicu wiadomości bezpośredniej nie weryfikowało, czy nadawca ma dostęp do odbiorców szkicu. Gość mógł w ten sposób uzyskać dostęp do informacji profilowych użytkowników, którzy w przeciwnym razie byliby ograniczeni, bez wysyłania wiadomości. Organizacje, które nie ograniczały dostępu gości, nie były dotknięte. Problem naprawiono w wersji 12.2.
- CVE-2026-26058Średnie
Zulip przed wersją 11.6 ma podatność na path traversal w ./manage.py import, która pozwala na odczyt dowolnych plików z systemu plików serwera. Sfałszowany tarball eksportu powoduje kopiowanie plików do katalogu uploads podczas importu.
- CVE-2026-25742Średnie
W Zulip przed wersją 11.6, nawet po wyłączeniu dostępu widza (spectator access), załączniki pochodzące z publicznych strumieni web-public nadal były dostępne anonimowo. Ponadto endpoint /users/me/<stream_id>/topics pozostawał osiągalny anonimowo, umożliwiając odczyt historii tematów dla tych strumieni.
Oryginalny opis (angielski, źródło NVD)
Zulip is an open-source team collaboration tool. From 11.0 until 12.2, organizations with web-public channels enabled exposed the GET /json/users endpoint to logged-out spectators, and a missing access-control check allowed include_custom_profile_fields=true to return every user's custom profile field values in addition to the documented limited directory data. This exposed those custom profile field values to unauthenticated visitors. This issue is fixed in version 12.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS