CVE-2026-65827

Docmost, oprogramowanie do współpracy i tworzenia dokumentacji typu wiki, w wersjach od 0.21.0 do 0.24.0 jest podatne na dowolny zapis plików poprzez funkcję importu ZIP (podatność ZipSlip). Brak walidacji nazw plików w pliku file.utils.ts umożliwia atakującemu zapis plików w dowolnej lokalizacji na serwerze.

Docmost przed wersją 0.90.1 pozwala uwierzytelnionemu administratorowi obszaru roboczego zaprosić zewnętrzny adres e-mail z rolą OWNER, ponieważ limit ról nie blokuje nadawania uprawnień wyższych niż własne. Po zaakceptowaniu zaproszenia nowe konto otrzymuje uprawnienia właściciela, co umożliwia utworzenie backdoora lub promowanie współpracującego użytkownika.

Docmost przed wersją 0.90.1 pozwala uwierzytelnionemu członkowi obszaru roboczego, który nie należy do prywatnej przestrzeni, wywołać API wyszukiwania transclusion/sync-block ze znaną parą sourcePageId i transclusionId, ponieważ wyszukiwanie nie sprawdza członkostwa w prywatnej przestrzeni. API może zwrócić poufne treści i metadane strony źródłowej, mimo że normalne API odmawia dostępu.

Docmost od wersji 0.70.0 do 0.80.1 pozwala użytkownikowi z niskimi uprawnieniami, który może edytować eksportowalną stronę, osadzić sfałszowany attachmentId należący do zastrzeżonej strony w tej samej przestrzeni. Eksport strony z includeAttachments=true powoduje odczyt zastrzeżonego załącznika i dołączenie go do archiwum ZIP, mimo że bezpośrednie pobranie pliku jest zabronione.

Docmost przed wersją 0.80.1 posiada publiczny endpoint obrazów awatara i logo, który przyjmuje kontrolowane przez atakującego segmenty ścieżki fileName i rozwiązuje je względem lokalnego magazynu bez ograniczenia do docelowego katalogu obrazów. Nieuwierzytelniony atakujący może wyjść poza katalog awatara lub logo i odczytać lokalne obiekty magazynu, których nazwa bazowa spełnia sprawdzenie UUID trasy.

Docmost, open-source oprogramowanie wiki i dokumentacji, w wersjach przed 0.80.1 pozwala uwierzytelnionym użytkownikom zapisywać kontrolowane przez atakującego wartości avatarUrl, które są później używane przez proces czyszczenia awatarów bez ograniczenia do docelowego katalogu w instalacjach z lokalnym magazynem. Użytkownik o niskich uprawnieniach może spowodować usunięcie dowolnych plików lub katalogów lokalnych dostępnych dla konta usługi Docmost. Problem naprawiono w wersji 0.80.1.

W Docmost v0.21.0 występuje podatność typu Path Traversal w załącznikach awatarów. Nieuwierzytelniony złośliwy podmiot może ujawnić lokalne pliki poprzez żądanie POST kierowane na publiczny adres URL.

Docmost to oprogramowanie do współpracy typu wiki i dokumentacji. W wersjach od 0.3.0 do 0.71.0 występuje problem z autoryzacją, umożliwiający uwierzytelnionemu użytkownikowi o niskich uprawnieniach nadpisanie załącznika innej strony w tym samym obszarze roboczym poprzez podanie identyfikatora załącznika ofiary w żądaniu POST /api/files/upload. Jest to zdalny problem integralności, niewymagający interakcji ofiary. Wersja 0.71.0 zawiera łatkę.

W Docmost przed wersją 0.71.0, nieprawidłowa neutralizacja adresów URL załączników umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami przechowanie złośliwego adresu URL `javascript:` w węźle załącznika. Gdy inny użytkownik wyświetli stronę i aktywuje link, wykonuje się kod JavaScript w kontekście Docmost.

Docmost przed wersją 0.70.0 jest podatny na atak XSS przez fałszowanie typu MIME. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.