CVE-2026-34586
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
PdfDing przed wersją 1.7.1 nie sprawdza w funkcji check_shared_access_allowed() czy udostępniony PDF jest nieaktywny (wygasł, osiągnął limit wyświetleń) lub usunięty. Pozwala to wcześniej autoryzowanym użytkownikom na dostęp do PDF po wygaśnięciu lub usunięciu.
Ocena ryzyka
Poufne dokumenty mogą być dostępne dla nieuprawnionych użytkowników nawet po wygaśnięciu udostępnienia, co narusza politykę dostępu.
Rekomendacja
Należy zaktualizować PdfDing do wersji 1.7.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
PdfDing is a selfhosted PDF manager, viewer and editor offering a seamless user experience on multiple devices. Prior to version 1.7.1, check_shared_access_allowed() validates only session existence — it does not check SharedPdf.inactive (expiration / max views) or SharedPdf.deleted. The Serve and Download endpoints rely solely on this function, allowing previously-authorized users to access shared PDF content after expiration, view limit, or soft-deletion. This issue has been patched in version 1.7.1.