CVE-2026-82472
WysokieCVSS 7.5Streszczenie
Documenso przed wersją 2.13.0 akceptuje przesyłanie plików PDF na punkt końcowy /api/files/upload-pdf bez wymagania uwierzytelnienia, tokenów sesji lub poświadczeń API. Nieuwierzytelnieni atakujący mogą przesyłać dowolne pliki PDF w nieskończoność, aby wyczerpać zasoby pamięci masowej lub zapełnić bazę danych niepowiązanymi rekordami dokumentów.
Ocena ryzyka
Ryzyko obejmuje możliwość wyczerpania zasobów systemowych i zaśmiecenia bazy danych, co może prowadzić do awarii usługi i utraty dostępności.
Rekomendacja
Zaleca się zaktualizowanie Documenso do wersji 2.13.0 lub nowszej, która wymaga uwierzytelnienia dla przesyłania plików, oraz wdrożenie limitów rozmiaru i liczby przesyłanych plików.
Inne podatności w Documenso
Zobacz wszystkie- CVE-2026-71247Średnie
W Documenso, plik sign-field-with-token.ts używany w interfejsie podpisywania dokumentów na żywo, pozwala odbiorcy z rolą ASYSTENTA na pobieranie i wypełnianie pól należących do późniejszych (lub równorzędnych) niepodpisanych odbiorców w tym samym pakiecie, bez ograniczeń co do typu pola. Nowsza ścieżka V2 (sign-envelope-field.ts) blokuje asystentom wypełnianie pól podpisu, a komentarze w testach potwierdzają brak tej ochrony w ścieżce V1.
- CVE-2026-13543Średnie
W Documenso do wersji 2.11.0 wykryto podatność w komponencie logowania przez Google OAuth. Nieznana funkcjonalność pliku handle-oauth-callback-url.ts prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność.
Oryginalny opis (angielski, źródło NVD)
Documenso before 2.13.0 accepts PDF file uploads on the /api/files/upload-pdf endpoint without requiring authentication, session tokens, or API credentials. Unauthenticated attackers can upload arbitrary PDF files indefinitely to exhaust storage resources or fill the database with unlinked document records.