Podatności Teable

Teable w wersjach przed 2026-10-12T12-45-53Z.3331 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym użytkownikom na zmianę nazw folderów w innych bazach poprzez podanie obcego folderId. Punkt końcowy PATCH /api/base/:baseId/node/folder/:folderId sprawdza uprawnienie base|update tylko względem baseId z adresu URL, więc atakujący mogą zmieniać nazwy folderów w bazach, do których nie należą.

Podatność w Teable przed 2026-06-15T04-43-24Z.1912 umożliwia anonimowym atakującym dostęp do ukrytych danych pól poprzez podanie dowolnych identyfikatorów pól w parametrze projekcji endpointu widoku udostępnionego. Atakujący mogą odczytać wartości pól, które powinny być niedostępne publicznie.

W Teable v2 brak adnotacji @Permissions w kontrolerze REST API dla punktów końcowych ORPC umożliwia każdemu uwierzytelnionemu użytkownikowi ominięcie kontroli autoryzacji. Atakujący mogą odczytywać schematy tabel, tworzyć tabele oraz modyfikować lub usuwać rekordy w różnych bazach i tabelach.

W teableio teable do wersji 1.9.x w komponencie Sign-up w pliku apps/nextjs-app/src/features/auth/pages/LoginPage.tsx występuje podatność na cross site scripting (XSS) poprzez manipulację argumentem redirect. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.