CVE-2026-110624
NiskieCVSS 3.1Streszczenie
Papermerge Core do wersji 3.5.3 zawiera podatność braku autoryzacji umożliwiającą uwierzytelnionym użytkownikom listowanie tagów i typów dokumentów innych grup poprzez podanie parametru group_id. Atakujący znający UUID grupy może odpytać GET /tags/all lub GET /document-types/all, które pomijają sprawdzenie user_belongs_to, ujawniając metadane grup, do których nie należy.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać metadane tagów i typów dokumentów należących do innych grup, co stanowi wyciek informacji. Ryzyko dotyczy organizacji używających Papermerge Core z wieloma grupami.
Rekomendacja
Zaktualizuj Papermerge Core do wersji nowszej niż 3.5.3, gdy poprawka będzie dostępna. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointów /tags/all i /document-types/all.
Inne podatności w Papermerge Core
Zobacz wszystkie- CVE-2026-110623Wysokie
Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji w API współdzielonych węzłów. Uwierzytelnieni użytkownicy mogą udostępniać dokumenty innych użytkowników, podając dowolne identyfikatory UUID węzłów, a następnie je czytać, modyfikować lub usuwać.
- CVE-2026-110622Wysokie
Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom manipulować stronami innych użytkowników, ponieważ punkty końcowe zarządzania stronami i OCR pomijają sprawdzanie has_node_perm. Atakujący znający identyfikatory UUID stron mogą je obracać, usuwać lub wyodrębniać oraz wywoływać OCR.
Oryginalny opis (angielski, źródło NVD)
Papermerge Core through 3.5.3 contains a missing authorization vulnerability that allows authenticated users to list other groups' tags and document types by supplying a group_id parameter. Attackers who know a group's UUID can query GET /tags/all or GET /document-types/all, which skip the user_belongs_to check, to disclose metadata of groups they do not belong to.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS