5.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Outline before 1.12.0 contains an incorrect authorization vulnerability in authorizeDocumentPublish() that allows authenticated members to publish documents into private collections without write access. Attackers can detach a child document via documents.unpublish, retaining parentDocumentId, then call documents.update with a private collection UUID to inject phishing content.
Засегнати продукти
- Outline Outline: преди 1.12.0
Вид слабост
История
- 2 ноември 2026 Публикувано
Други уязвимости в Outline Outline
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-120489
- https://nvd.nist.gov/vuln/detail/CVE-2026-120489
- https://github.com/outline/outline/security/advisories/GHSA-h6ff-rw9x-5mq2
- https://github.com/outline/outline/commit/d249b34e8e5fd465d542cad87190d411fdcbd5dc
- https://github.com/outline/outline/releases/tag/v1.12.0
- https://github.com/outline/outline/blob/v1.11.0/server/commands/documentCreator.ts#L135-L143
- https://www.vulncheck.com/advisories/outline-before-1.12.0-incorrect-authorization-via-authorizedocumentpublish-detached-draft