PT-2024-21794 · Zulip · Zulip

Alexmv

·

Publicado

2024-03-20

·

Atualizado

2025-09-03

·

CVE-2024-27286

CVSS v3.1

6.5

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões 3.0 a 8.2 do Zulip
Descrição
O problema ocorre quando um usuário move uma mensagem do Zulip de um fluxo público para um fluxo privado e opta por mover apenas essa mensagem específica. Nesses casos, usuários ativos sem acesso ao fluxo privado, mas cujo cliente já tivesse recebido a mensagem, continuariam a ver a mensagem no fluxo público até que recarregassem seu cliente. Além disso, o Zulip não removia as permissões de visualização da mensagem para usuários recentemente ativos, permitindo que a mensagem aparecesse na visualização “Todas as mensagens” ou nos resultados de pesquisa. Esse bug está presente desde a versão 3.0, mas tornou-se mais comum a partir do Zulip 8.0.
Recomendações
Para as versões 3.0 a 8.2 do Zulip, atualize para o Zulip Server 8.3 para resolver o problema.
Como solução temporária, considere recarregar o cliente para garantir que a mensagem não esteja mais visível no fluxo público.
Restrinja o acesso às mensagens movidas para minimizar o risco de divulgação de informações até que o problema seja resolvido.

Exploit

Correção

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-27286
GHSA-478X-RFQR-W4JF

Produtos afetados

Zulip