Papermerge Core 3.5.3 ve öncesinde yetkilendirme eksikliği
Yapay zeka üretimi20.10.2026
- CVE
- CVE-2026-110623
- Ciddiyet
- Yüksek (CVSS 7.5)
- Firma / ürün
- - / -
Özet
Papermerge Core 3.5.3 ve önceki sürümlerinde, paylaşılan düğüm API'sinde yetkilendirme eksikliği bulunuyor; yetkili kullanıcılar başka kullanıcıların belgelerini paylaşabilir.
Ayrıntılar
NVD kaydına göre Papermerge Core 3.5.3 ve daha eski sürümler, paylaşılan düğüm API'sinde eksik yetkilendirme sorunu barındırıyor. Kimliği doğrulanmış bir kullanıcı, rastgele düğüm UUID'leri sağlayarak POST /shared-nodes ya da PATCH /shared-nodes/access/{node_id} istekleriyle kendine istediği rolü atayabiliyor. Bu sayede diğer kullanıcıların belgelerini okuyabilir, değiştirebilir, silebilir ve mevcut paylaşımları iptal edebilir. Açığın ciddiyeti yüksek (CVSS 7.5).
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayımlandığında derhal uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.