Уязвимость CVE-2026-93547 в Vaadin Spreadsheet: обход защиты листов и заблокированных ячеек

В компоненте Vaadin Spreadsheet, предназначенном для отображения и редактирования электронных таблиц в веб-приложениях, выявлена уязвимость, связанная с отсутствием проверки авторизации. Она получила идентификатор CVE-2026-93547 и оценку CVSS 5.3 (MEDIUM).

Подробности

Уязвимость заключается в том, что аутентифицированный пользователь приложения, отображающего электронную таблицу, может добавлять или заменять комментарии к ячейкам на листе, для которого включена защита. Это распространяется и на заблокированные ячейки, доступ к которым должен быть ограничен. Кроме того, запись комментария к ещё не существующей ячейке приводит к созданию новой строки и ячейки, что позволяет обходить установленные ограничения на структуру листа. Проблема затрагивает следующие продукты и диапазоны версий:

• Vaadin 23.1.0 – 23.6.13
• Vaadin 24.0.0 – 24.9.21
• Vaadin 24.10.0 – 24.10.9
• Vaadin 25.0.0 – 25.1.11
• Vaadin 25.2.0 – 25.2.6
• Vaadin Framework 7 и 8 с Spreadsheet add-on 2.0.0 – 3.1.0

Maven-координаты уязвимых артефактов включают com.vaadin:vaadin, com.vaadin:vaadin-spreadsheet-flow (в тех же диапазонах версий) и com.vaadin:vaadin-spreadsheet (2.0.0 – 3.1.0). Стоит отметить, что версии Vaadin 10–13 и 15–22 больше не поддерживаются, и для них исправления не выпускаются.

Что делать

Разработчикам и администраторам рекомендуется обновить затронутые компоненты до исправленных версий:

• Vaadin — до 23.6.14, 24.9.22, 24.10.10, 25.1.12 или 25.2.7 и новее;
• Spreadsheet add-on — до 3.1.1.

Пользователям неподдерживаемых версий Vaadin (10–13 и 15–22) следует выполнить миграцию на актуальные ветки 23, 24 или 25. В качестве временной меры до обновления можно ограничить функциональность работы с комментариями к ячейкам на защищённых листах, однако полноценным решением является установка исправленной версии. Также целесообразно проверить логику разграничения прав на уровне приложения и убедиться, что защита листов не является единственным барьером. Итог: CVE-2026-93547 — уязвимость среднего уровня, позволяющая обходить защиту листов и блокировку ячеек через запись комментариев. Исправления доступны во всех поддерживаемых ветках Vaadin и в Spreadsheet add-on 3.1.1; рекомендуется как можно скорее обновить зависимости.

Источник: CVE Project (cvelistV5)