Podatności Zulip Server
4 znanych podatności CVE w Zulip Server, przetłumaczonych i ocenionych.
- CVE-2017-0910Wysokie
W Zulip Server przed wersją 1.7.1 występuje podatność w systemie zaproszeń, która pozwala autoryzowanemu użytkownikowi z jednego realm na serwerze na utworzenie konta użytkownika w dowolnym innym realm.
- CVE-2026-102893Krytyczne
Zulip Server do wersji 12.1 zawiera podatność w backendzie GenericOpenIdConnectBackend, która nie odrzuca fałszywego claimu email_verified=false. Jeśli skonfigurowany dostawca tożsamości zwróci adres e-mail, którego uwierzytelniający użytkownik nie kontroluje, Zulip może zalogować użytkownika na istniejące konto dla tego adresu. Wymaga to błędnie skonfigurowanego zaufanego dostawcy tożsamości.
- CVE-2026-100404Średnie
Zulip Server w wersjach do 12.1 ujawnia gościom zdarzenia nowych wiadomości z publicznych kanałów, do których nie są zapisani. Gość może zarejestrować kolejkę zdarzeń żądającą wiadomości z niezasubskrybowanego kanału publicznego lub istniejąca kolejka może pozostać aktywna po odebraniu dostępu do kanału.
- CVE-2023-33186Wysokie
Zulip, narzędzie do współpracy zespołowej, ma podatność na atak typu cross-site scripting (XSS) w podpowiedziach na liście wiadomości. Atakujący może stworzyć złośliwy temat wiadomości, który po najechaniu kursorem przez ofiarę uruchomi kontrolowany przez niego kod JavaScript.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS