CVE-2026-52853

Docmost, oprogramowanie do współpracy i tworzenia dokumentacji typu wiki, w wersjach od 0.21.0 do 0.24.0 jest podatne na dowolny zapis plików poprzez funkcję importu ZIP (podatność ZipSlip). Brak walidacji nazw plików w pliku file.utils.ts umożliwia atakującemu zapis plików w dowolnej lokalizacji na serwerze.

Docmost to oprogramowanie open source do współpracy i dokumentacji. Od wersji 0.21.0 do 0.95.0 każdy uwierzytelniony członek przestrzeni roboczej z prawem edycji może przesłać archiwum do funkcji importu strony, której procedura rozpakowywania ZIP nie ogranicza całkowitego rozmiaru po rozpakowaniu, rozmiaru pojedynczego wpisu ani liczby wpisów. Ekstraktor zapisuje wpisy w katalogu tymczasowym serwera i automatycznie rozpakowuje jeden zagnieżdżony ZIP, co pozwala zewnętrznemu przesłaniu w domyślnym limicie 200 MB rozszerzyć się o wiele GB. Wynikające z tego wyczerpanie miejsca na dysku może spowodować awarię procesu importu i pogorszenie lub zatrzymanie działania instancji dla wszystkich najemców. Problem naprawiono w wersji 0.95.0.

Docmost przed wersją 0.90.1 pozwala uwierzytelnionemu członkowi obszaru roboczego, który nie należy do prywatnej przestrzeni, wywołać API wyszukiwania transclusion/sync-block ze znaną parą sourcePageId i transclusionId, ponieważ wyszukiwanie nie sprawdza członkostwa w prywatnej przestrzeni. API może zwrócić poufne treści i metadane strony źródłowej, mimo że normalne API odmawia dostępu.

Docmost od wersji 0.70.0 do 0.80.1 pozwala użytkownikowi z niskimi uprawnieniami, który może edytować eksportowalną stronę, osadzić sfałszowany attachmentId należący do zastrzeżonej strony w tej samej przestrzeni. Eksport strony z includeAttachments=true powoduje odczyt zastrzeżonego załącznika i dołączenie go do archiwum ZIP, mimo że bezpośrednie pobranie pliku jest zabronione.

Docmost przed wersją 0.80.1 posiada publiczny endpoint obrazów awatara i logo, który przyjmuje kontrolowane przez atakującego segmenty ścieżki fileName i rozwiązuje je względem lokalnego magazynu bez ograniczenia do docelowego katalogu obrazów. Nieuwierzytelniony atakujący może wyjść poza katalog awatara lub logo i odczytać lokalne obiekty magazynu, których nazwa bazowa spełnia sprawdzenie UUID trasy.

Docmost, open-source oprogramowanie wiki i dokumentacji, w wersjach przed 0.80.1 pozwala uwierzytelnionym użytkownikom zapisywać kontrolowane przez atakującego wartości avatarUrl, które są później używane przez proces czyszczenia awatarów bez ograniczenia do docelowego katalogu w instalacjach z lokalnym magazynem. Użytkownik o niskich uprawnieniach może spowodować usunięcie dowolnych plików lub katalogów lokalnych dostępnych dla konta usługi Docmost. Problem naprawiono w wersji 0.80.1.

W Docmost v0.21.0 występuje podatność typu Path Traversal w załącznikach awatarów. Nieuwierzytelniony złośliwy podmiot może ujawnić lokalne pliki poprzez żądanie POST kierowane na publiczny adres URL.

Docmost to oprogramowanie do współpracy typu wiki i dokumentacji. W wersjach od 0.3.0 do 0.71.0 występuje problem z autoryzacją, umożliwiający uwierzytelnionemu użytkownikowi o niskich uprawnieniach nadpisanie załącznika innej strony w tym samym obszarze roboczym poprzez podanie identyfikatora załącznika ofiary w żądaniu POST /api/files/upload. Jest to zdalny problem integralności, niewymagający interakcji ofiary. Wersja 0.71.0 zawiera łatkę.

W Docmost przed wersją 0.71.0, nieprawidłowa neutralizacja adresów URL załączników umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami przechowanie złośliwego adresu URL `javascript:` w węźle załącznika. Gdy inny użytkownik wyświetli stronę i aktywuje link, wykonuje się kod JavaScript w kontekście Docmost.

Docmost przed wersją 0.70.0 jest podatny na atak XSS przez fałszowanie typu MIME. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.