CVE-2026-110623
WysokieCVSS 7.5Streszczenie
Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji w API współdzielonych węzłów. Uwierzytelnieni użytkownicy mogą udostępniać dokumenty innych użytkowników, podając dowolne identyfikatory UUID węzłów, a następnie je czytać, modyfikować lub usuwać.
Ocena ryzyka
Atakujący może uzyskać dostęp do dokumentów innych użytkowników, modyfikować je lub usuwać, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Papermerge Core do wersji nowszej niż 3.5.3 i wdróż kontrole autoryzacji dla punktów końcowych /shared-nodes.
Inne podatności w Papermerge Core
Zobacz wszystkie- CVE-2026-110624Niskie
Papermerge Core do wersji 3.5.3 zawiera podatność braku autoryzacji umożliwiającą uwierzytelnionym użytkownikom listowanie tagów i typów dokumentów innych grup poprzez podanie parametru group_id. Atakujący znający UUID grupy może odpytać GET /tags/all lub GET /document-types/all, które pomijają sprawdzenie user_belongs_to, ujawniając metadane grup, do których nie należy.
- CVE-2026-110622Wysokie
Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom manipulować stronami innych użytkowników, ponieważ punkty końcowe zarządzania stronami i OCR pomijają sprawdzanie has_node_perm. Atakujący znający identyfikatory UUID stron mogą je obracać, usuwać lub wyodrębniać oraz wywoływać OCR.
Oryginalny opis (angielski, źródło NVD)
Papermerge Core through 3.5.3 contains a missing authorization vulnerability in the shared nodes API that allows authenticated users to share other users' documents by supplying arbitrary node UUIDs. Attackers can call POST /shared-nodes or PATCH /shared-nodes/access/{node_id} to grant themselves any role, then read, modify, or delete victims' documents and revoke existing shares.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS