CVE-2026-113601
Beschrijving NL
Memo's vóór 0.27.0 bevatten een ontbrekende autorisatiekwetsbaarheid in de ActivityService ListActivities en GetActivity API-methoden waarmee geverifieerde gebruikers de activiteitenrecords van alle gebruikers kunnen bekijken. Laagbevoorrechte aanvallers kunnen sequentiële activiteit-ID's opsommen om maker-ID's, tijdstempels en memo-commentaarreferenties te verkrijgen, inclusief activiteit op privémemo's van andere gebruikers.
Origineel (Engels) tonen
Memos before 0.27.0 contains a missing authorization vulnerability in the ActivityService ListActivities and GetActivity API methods that allows authenticated users to view all users' activity records. Low-privileged attackers can enumerate sequential activity IDs to obtain creator IDs, timestamps, and memo-comment references, including activity on other users' private memos.