CVE-2026-85697
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Documenso 2.17.0 zawiera podatność w kontroli dostępu w punkcie końcowym serwującym pliki PDF, który nie sprawdza ustawień widoczności dokumentów. Atakujący z niskimi uprawnieniami mogą czytać zastrzeżone dokumenty w swoim zespole lub między dzierżawcami, wykorzystując brak walidacji własności na identyfikatorach danych dokumentów.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych dokumentów, co narusza poufność danych i może prowadzić do wycieku informacji.
Rekomendacja
Zaktualizuj Documenso do wersji z poprawką oraz wdróż odpowiednią walidację własności dokumentów na serwerze.
Inne podatności w Documenso
Zobacz wszystkie- CVE-2026-82472Wysokie
Documenso przed wersją 2.13.0 akceptuje przesyłanie plików PDF na punkt końcowy /api/files/upload-pdf bez wymagania uwierzytelnienia, tokenów sesji lub poświadczeń API. Nieuwierzytelnieni atakujący mogą przesyłać dowolne pliki PDF w nieskończoność, aby wyczerpać zasoby pamięci masowej lub zapełnić bazę danych niepowiązanymi rekordami dokumentów.
- CVE-2026-71247Średnie
W Documenso, plik sign-field-with-token.ts używany w interfejsie podpisywania dokumentów na żywo, pozwala odbiorcy z rolą ASYSTENTA na pobieranie i wypełnianie pól należących do późniejszych (lub równorzędnych) niepodpisanych odbiorców w tym samym pakiecie, bez ograniczeń co do typu pola. Nowsza ścieżka V2 (sign-envelope-field.ts) blokuje asystentom wypełnianie pól podpisu, a komentarze w testach potwierdzają brak tej ochrony w ścieżce V1.
- CVE-2026-13543Średnie
W Documenso do wersji 2.11.0 wykryto podatność w komponencie logowania przez Google OAuth. Nieznana funkcjonalność pliku handle-oauth-callback-url.ts prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność.
Oryginalny opis (angielski, źródło NVD)
Documenso 2.17.0 contains an access control vulnerability in the PDF-serving endpoint that fails to validate document visibility settings. Attackers with low privileges can read restricted documents within their team or cross-tenant by leveraging missing ownership validation on document data identifiers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS