CVE-2026-48052

ŚrednieCVSS 5.4

Opublikowano: 27/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 28/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

W systemie Papra przed wersją 26.5.0 uwierzytelniony użytkownik będący członkiem dowolnej organizacji może usuwać lub zmieniać nazwy tagów należących do innej organizacji, znając identyfikator tagu. Mechanizm kontroli dostępu sprawdza przynależność do organizacji na poziomie URL, ale zapytanie do bazy danych filtruje tylko po identyfikatorze tagu, pomijając zakres organizacji.

Ocena ryzyka

Atakujący może naruszyć integralność danych innych organizacji, usuwając lub modyfikując ich tagi, co może prowadzić do dezorganizacji pracy i utraty danych.

Rekomendacja

Należy niezwłocznie zaktualizować system Papra do wersji 26.5.0 lub nowszej, która zawiera poprawkę usuwającą tę lukę.

Inne podatności w Papra

CVE-2026-48051Niskie
W systemie Papra przed wersją 26.5.0 system dostarczania webhooków zawiera obejście ochrony SSRF, które pozwala każdemu uwierzytelnionemu członkowi organizacji na zmuszenie serwera do wykonywania żądań HTTP do adresów wewnętrznych (loopback, link-local, RFC-1918). Ochrona SSRF sprawdza zarejestrowany URL webhooka, ale ignoruje cele przekierowań. Klient HTTP (ofetch) automatycznie podąża za odpowiedziami 3xx, a cel przekierowania nie jest sprawdzany względem listy blokowanych.

Oryginalny opis (angielski, źródło NVD)

Papra is a minimalistic document management and archiving platform. Prior to version 26.5.0, an authenticated user who is a member of any organization can delete or rename tags belonging to a different organization, given the target tag's ID. The route handler verifies the caller's membership of the ":organizationId" in the URL, but the repository write filters on tag.id alone, so the URL-level org scope never reaches the database. This issue has been patched in version 26.5.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS