CVE-2026-33146

Docmost, oprogramowanie do współpracy i tworzenia dokumentacji typu wiki, w wersjach od 0.21.0 do 0.24.0 jest podatne na dowolny zapis plików poprzez funkcję importu ZIP (podatność ZipSlip). Brak walidacji nazw plików w pliku file.utils.ts umożliwia atakującemu zapis plików w dowolnej lokalizacji na serwerze.

Docmost to oprogramowanie open source do współpracy i dokumentacji. Od wersji 0.21.0 do 0.95.0 każdy uwierzytelniony członek przestrzeni roboczej z prawem edycji może przesłać archiwum do funkcji importu strony, której procedura rozpakowywania ZIP nie ogranicza całkowitego rozmiaru po rozpakowaniu, rozmiaru pojedynczego wpisu ani liczby wpisów. Ekstraktor zapisuje wpisy w katalogu tymczasowym serwera i automatycznie rozpakowuje jeden zagnieżdżony ZIP, co pozwala zewnętrznemu przesłaniu w domyślnym limicie 200 MB rozszerzyć się o wiele GB. Wynikające z tego wyczerpanie miejsca na dysku może spowodować awarię procesu importu i pogorszenie lub zatrzymanie działania instancji dla wszystkich najemców. Problem naprawiono w wersji 0.95.0.

Docmost przed wersją 0.90.1 pozwala uwierzytelnionemu administratorowi obszaru roboczego zaprosić zewnętrzny adres e-mail z rolą OWNER, ponieważ limit ról nie blokuje nadawania uprawnień wyższych niż własne. Po zaakceptowaniu zaproszenia nowe konto otrzymuje uprawnienia właściciela, co umożliwia utworzenie backdoora lub promowanie współpracującego użytkownika.

Docmost przed wersją 0.90.1 pozwala uwierzytelnionemu członkowi obszaru roboczego, który nie należy do prywatnej przestrzeni, wywołać API wyszukiwania transclusion/sync-block ze znaną parą sourcePageId i transclusionId, ponieważ wyszukiwanie nie sprawdza członkostwa w prywatnej przestrzeni. API może zwrócić poufne treści i metadane strony źródłowej, mimo że normalne API odmawia dostępu.

Docmost od wersji 0.70.0 do 0.80.1 pozwala użytkownikowi z niskimi uprawnieniami, który może edytować eksportowalną stronę, osadzić sfałszowany attachmentId należący do zastrzeżonej strony w tej samej przestrzeni. Eksport strony z includeAttachments=true powoduje odczyt zastrzeżonego załącznika i dołączenie go do archiwum ZIP, mimo że bezpośrednie pobranie pliku jest zabronione.

Docmost przed wersją 0.80.1 posiada publiczny endpoint obrazów awatara i logo, który przyjmuje kontrolowane przez atakującego segmenty ścieżki fileName i rozwiązuje je względem lokalnego magazynu bez ograniczenia do docelowego katalogu obrazów. Nieuwierzytelniony atakujący może wyjść poza katalog awatara lub logo i odczytać lokalne obiekty magazynu, których nazwa bazowa spełnia sprawdzenie UUID trasy.

Docmost, open-source oprogramowanie wiki i dokumentacji, w wersjach przed 0.80.1 pozwala uwierzytelnionym użytkownikom zapisywać kontrolowane przez atakującego wartości avatarUrl, które są później używane przez proces czyszczenia awatarów bez ograniczenia do docelowego katalogu w instalacjach z lokalnym magazynem. Użytkownik o niskich uprawnieniach może spowodować usunięcie dowolnych plików lub katalogów lokalnych dostępnych dla konta usługi Docmost. Problem naprawiono w wersji 0.80.1.

W Docmost v0.21.0 występuje podatność typu Path Traversal w załącznikach awatarów. Nieuwierzytelniony złośliwy podmiot może ujawnić lokalne pliki poprzez żądanie POST kierowane na publiczny adres URL.

Docmost to oprogramowanie do współpracy typu wiki i dokumentacji. W wersjach od 0.3.0 do 0.71.0 występuje problem z autoryzacją, umożliwiający uwierzytelnionemu użytkownikowi o niskich uprawnieniach nadpisanie załącznika innej strony w tym samym obszarze roboczym poprzez podanie identyfikatora załącznika ofiary w żądaniu POST /api/files/upload. Jest to zdalny problem integralności, niewymagający interakcji ofiary. Wersja 0.71.0 zawiera łatkę.

W Docmost przed wersją 0.71.0, nieprawidłowa neutralizacja adresów URL załączników umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami przechowanie złośliwego adresu URL `javascript:` w węźle załącznika. Gdy inny użytkownik wyświetli stronę i aktywuje link, wykonuje się kod JavaScript w kontekście Docmost.