CVE-2026-110622
WysokieCVSS 7.5Streszczenie
Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom manipulować stronami innych użytkowników, ponieważ punkty końcowe zarządzania stronami i OCR pomijają sprawdzanie has_node_perm. Atakujący znający identyfikatory UUID stron mogą je obracać, usuwać lub wyodrębniać oraz wywoływać OCR.
Ocena ryzyka
Atakujący może modyfikować lub usuwać strony innych użytkowników, co prowadzi do naruszenia integralności danych i potencjalnej utraty informacji.
Rekomendacja
Zaktualizuj Papermerge Core do wersji nowszej niż 3.5.3 i zapewnij sprawdzanie uprawnień has_node_perm we wszystkich punktach końcowych zarządzania stronami i OCR.
Inne podatności w Papermerge Core
Zobacz wszystkie- CVE-2026-110624Niskie
Papermerge Core do wersji 3.5.3 zawiera podatność braku autoryzacji umożliwiającą uwierzytelnionym użytkownikom listowanie tagów i typów dokumentów innych grup poprzez podanie parametru group_id. Atakujący znający UUID grupy może odpytać GET /tags/all lub GET /document-types/all, które pomijają sprawdzenie user_belongs_to, ujawniając metadane grup, do których nie należy.
- CVE-2026-110623Wysokie
Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji w API współdzielonych węzłów. Uwierzytelnieni użytkownicy mogą udostępniać dokumenty innych użytkowników, podając dowolne identyfikatory UUID węzłów, a następnie je czytać, modyfikować lub usuwać.
Oryginalny opis (angielski, źródło NVD)
Papermerge Core through 3.5.3 contains a missing authorization vulnerability that allows authenticated users to manipulate other users' pages because page management and OCR endpoints skip has_node_perm checks. Attackers knowing page UUIDs can call /pages/, /pages/move, or /pages/extract to rotate, delete, or extract victims' pages, and trigger OCR via /tasks/ocr.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS