CVE-2026-115574
Zulip: Custom profile fields can be read by logged-out visitors in organization with web-public channels
CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите Zulip до версии 12.2.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В Zulip неавторизованные посетители могут получить доступ к значениям пользовательских полей профиля.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В организациях с открытыми веб-каналами эндпоинт GET /json/users доступен неавторизованным пользователям. Из-за отсутствия проверки прав параметр include_custom_profile_fields=true возвращает значения настраиваемых полей профиля каждого пользователя.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Раскрытие значений настраиваемых полей профиля пользователей неавторизованным посетителям.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/zulip/zulip/security/advisories/GHSA-3m37-hwq6-jrj8
- github.comhttps://github.com/zulip/zulip/pull/39913
- github.comhttps://github.com/zulip/zulip/commit/6f33a8fa345ba776039a3f46131c253599a3ba15
- github.comhttps://github.com/zulip/zulip/commit/774d4c7b12755178fa406f0c0f3b2cafdbbec32c
- github.comhttps://github.com/zulip/zulip/releases/tag/12.2
- zulip.readthedocs.iohttps://zulip.readthedocs.io/en/latest/overview/changelog.html#zulip-server-12-2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-115574: Zulip: Custom profile fields can be read by logged-out visitors in organization with web-public channels. URL: https://cve.futuretools.ru/cve/CVE-2026-115574
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_115574,
title = {{CVE-2026-115574: Zulip: Custom profile fields can be read by logged-out visitors in organization with web-public channels}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-115574}},
note = {Оперативный инженерный анализ киберугроз}
}