CVE-2026-55089
KrytyczneCVSS 9.9Streszczenie
Etherpad od wersji 2.1.0 do 3.1.0 zawiera podatność w autoryzacji API, która pozwala nieuprzywilejowanemu użytkownikowi z ważnym tokenem na wywoływanie funkcji administracyjnych, takich jak modyfikacja, usuwanie lub ujawnianie padów.
Ocena ryzyka
Nieautoryzowany dostęp do funkcji administracyjnych może prowadzić do naruszenia poufności, integralności i dostępności danych w całej instancji Etherpad.
Rekomendacja
Zaleca się aktualizację Etherpad do wersji 3.1.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Etherpad is a real-time collaborative editor. From 2.1.0 until 3.1.0, Etherpad's src/node/handler/APIHandler.ts authorizes requests to /api/2/* in the authorization_code OAuth path by using requiredClaims with the admin claim. This check requires only that the claim exists, while src/node/security/OAuth2Provider.ts issues admin: false for configured non-admin users. A non-admin user with a valid signed token can therefore invoke administrative functions including setHTML, setText, appendText, deletePad, copyPad, movePad, restoreRevision, anonymizeAuthor, listAllPads, and listAuthorsOfPad, allowing disclosure, modification, or deletion of pads across the instance. This issue is fixed in version 3.1.0.