CVE-2026-116136
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
ProjectSend w wersjach od 2.0.0 do 2.7.1 zawiera niekompletną lukę w autoryzacji w FileVersions::link(), która pozwala użytkownikom personelu udostępniać pliki bez autoryzacji poprzez łączenie wersji plików. Atakujący mogą podłączyć swój plik do pośredniej rewizji lub przypisać klientów spoza zakresu, powodując, że moveAssignmentsToRoot() ujawnia chronione oryginalne pliki nieuprawnionym klientom.
Ocena ryzyka
Użytkownik personelu może obejść kontrolę dostępu i ujawnić chronione pliki klientom, którzy nie powinni mieć do nich dostępu.
Rekomendacja
Zaktualizuj ProjectSend do wersji nowszej niż 2.7.1 i zweryfikuj logikę autoryzacji w FileVersions::link() oraz moveAssignmentsToRoot().
Inne podatności w ProjectSend
Zobacz wszystkie- CVE-2023-53980Krytyczne
ProjectSend r1605 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na przesyłanie złośliwych plików poprzez manipulowanie rozszerzeniami plików. Atakujący mogą przesyłać skrypty powłoki z zamaskowanymi rozszerzeniami przez endpoint upload.process.php, aby wykonać dowolne polecenia na serwerze.
- CVE-2024-11680KrytyczneAktywnie exploitowane
W ProjectSend w wersjach przed r1720 występuje luka w uwierzytelnianiu. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP do pliku options.php, co umożliwia nieautoryzowaną modyfikację konfiguracji aplikacji. Skuteczne wykorzystanie luki pozwala na tworzenie kont, wgrywanie webshelli oraz osadzanie złośliwego JavaScript.
- CVE-2026-112003Średnie
ProjectSend w wersjach od 2.0.0 do przed 2.7.0 zawiera błąd walidacji ścieżek w funkcji OrphanFileScanner::isOrphan(), który pozwala pracownikom z uprawnieniem import_orphans traktować śledzone pliki jako osierocone. Atakujący może przesłać aliasy ścieżek ./ do punktów końcowych importu lub usuwania osieroconych plików, usuwając lub przejmując pliki innych właścicieli z pominięciem uprawnienia delete_others_files.
- CVE-2026-112002Średnie
ProjectSend w wersjach od 2.5.0 do przed 2.7.0 zawiera podatność polegającą na niezweryfikowanej zmianie hasła w funkcji PasswordController::update(), która pozwala sesjom kont utworzonych przez Social ustawić lokalne hasło bez podania aktualnego hasła. Atakujący posiadający skradzione ciasteczko sesji może wysłać żądanie PUT /settings/password, aby utworzyć trwałe lokalne hasło, zarejestrować własny drugi czynnik i trwale przejąć konto.
- CVE-2026-112001Wysokie
ProjectSend w wersjach od 2.0.0 do 2.7.0 zawiera podatność nieprawidłowej autoryzacji, która pozwala posiadaczom ograniczonego tokenu API zmieniać poświadczenia właściciela tokenu poprzez PATCH /api/v1/users/{user}. Atakujący z tokenem ograniczonym do manage_users i edit_users może ustawić nowe hasło właściciela, wyczyścić uwierzytelnianie dwuskładnikowe i zalogować się interaktywnie z pełnymi uprawnieniami właściciela.
- CVE-2026-53992Średnie
ProjectSend r2029 zawiera odzwierciedloną podatność XSS w thumbnails-regenerate.php, która pozwala zdalnym atakującym na wstrzyknięcie dowolnego HTML i JavaScript poprzez podanie niesanityzowanych wartości w parametrach GET start_date i end_date, które są echoowane bez escapowania do wartości atrybutów HTML. Atakujący może stworzyć złośliwy URL, który po kliknięciu przez uwierzytelnioną ofiarę z uprawnieniami edit_settings wykonuje wstrzyknięte skrypty w originie aplikacji, co może prowadzić do kradzieży ciasteczek sesji lub nieautoryzowanych działań, w tym zarządzania użytkownikami, plikami i zmianami ustawień aplikacji.
- CVE-2021-47947Średnie
Trwały XSS w Projectsend r1295. Uwierzytelnieni atakujący mogą wstrzyknąć złośliwy skrypt przez parametr 'name' w pliku files-edit.php, który wykonuje się u administratorów na Dashboardzie.
- CVE-2026-5624Średnie
Podatność na Cross-Site Request Forgery (CSRF) w ProjectSend r2002 w pliku upload.php. Atak może być przeprowadzony zdalnie. Publicznie dostępny jest exploit.
- CVE-2020-28874Wysokie
Podatność w skrypcie reset-password.php w ProjectSend przed wersją r1295 umożliwia zdalnemu atakującemu zresetowanie hasła użytkownika z powodu błędnej logiki biznesowej. Błędy nie są odpowiednio obsługiwane, w szczególności nieprawidłowy parametr tokena.
Oryginalny opis (angielski, źródło NVD)
ProjectSend 2.0.0 through 2.7.1 contains an incomplete authorization vulnerability in FileVersions::link() that allows staff users to share files without authorization by linking file versions. Attackers can link their file onto an intermediate revision or assign out-of-scope clients, causing moveAssignmentsToRoot() to expose protected original files to unauthorized clients.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS