CVE-2026-111350

ŚrednieCVSS 5.0

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

Papermark do wersji 0.22.0 zawiera podatność braku autoryzacji w API grup widzów data room, umożliwiającą uwierzytelnionym użytkownikom usuwanie grup widzów i linków udostępniania innych zespołów. Atakujący znający identyfikatory data room i grup ofiary mogą wysyłać żądania DELETE, odczytywać linki grup lub przepisywać uprawnienia do dokumentów grupowych między zespołami.

Ocena ryzyka

Uwierzytelnieni użytkownicy mogą usuwać lub modyfikować grupy widzów i linki udostępniania innych zespołów, co prowadzi do utraty danych i naruszenia poufności.

Rekomendacja

Zaktualizuj Papermark do wersji nowszej niż 0.22.0, jeśli jest dostępna, lub wdroż dodatkowe kontrole autoryzacji w API grup widzów data room.

Inne podatności w Papermark

CVE-2026-57957Średnie
Podatność w Papermark do wersji 0.22.0 wynika z błędnej konfiguracji CORS, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonywanie uwierzytelnionych żądań międzyoriginowych. Atakujący mogą wykorzystać endpoint przesyłania plików oparty na TUS, który odzwierciedla dowolne Origins z nagłówkiem Access-Control-Allow-Credentials ustawionym na true.

Oryginalny opis (angielski, źródło NVD)

Papermark through 0.22.0 contains a missing authorization vulnerability in the data room viewer group API that allows authenticated users to delete other teams' viewer groups and share links. Attackers who know a victim team's data room and group identifiers can send DELETE requests, read group links, or rewrite group document permissions across teams.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS