CVE-2026-123206
EdgeChat before 2.20.3 Missing Authentication for Attachment Download via GET /files/:key
CVSS 3.1Medium
6.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите EdgeChat до версии 2.20.3 или новее.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Отсутствие аутентификации в маршруте скачивания файлов EdgeChat позволяет неавторизованным пользователям загружать вложения публичных каналов.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Функция canAccessFile() в обработчике GET /files/:key принимает пустой идентификатор пользователя (null user id). Злоумышленник, знающий ключ объекта, может запросить файл без токена или членства в канале.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Загрузка расшифрованных вложений из публичных каналов без прохождения аутентификации или при наличии блокировки учетной записи.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/aozorae/Edgechat/issues/58
- github.comhttps://github.com/aozorae/Edgechat/commit/38cb5cf42d8014ca64624d4f4d565419b2fbeda9
- github.comhttps://github.com/aozorae/Edgechat/blob/1288c66997d5e2f9eefc515cf60b2072f8d655be/worker/src/data/uploaded-files.js#L146
- hackmd.iohttps://hackmd.io/@hieund/edgechat-files-unauthenticated-public-attachment-disclosure
- www.vulncheck.comhttps://www.vulncheck.com/advisories/edgechat-before-2.20.3-missing-authentication-for-attachment-download-via-get-files-key
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-123206: EdgeChat before 2.20.3 Missing Authentication for Attachment Download via GET /files/:key. URL: https://cve.futuretools.ru/cve/CVE-2026-123206
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_123206,
title = {{CVE-2026-123206: EdgeChat before 2.20.3 Missing Authentication for Attachment Download via GET /files/:key}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-123206}},
note = {Оперативный инженерный анализ киберугроз}
}