PT-2026-110588 · Logicaldoc · Logicaldoc Community Edition
CVSS v3.1
6.5
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
LogicalDOC Community Edition الإصدارات السابقة لـ 9.4
الوصف
يمكن للمستخدمين المصرح لهم تصدير المجلدات المقيدة من خلال التفاعل مع نقطة النهاية '/zip-export'. يحدث هذا لأن الدالة
addFolderDocuments() في servlet ZipExport تتجاهل فحوصات أذونات القراءة (READ) والتنزيل (DOWNLOAD) عند تقديم المعلمة folderId ، مما يسمح بتنزيل جميع المستندات الموجودة في المجلد المحدد في أرشيف ZIP بشكل غير مصرح به.التوصيات
تحديث LogicalDOC Community Edition إلى الإصدار 9.4 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/zip-export' للمستخدمين الذين لا ينبغي أن يتمتعوا بصلاحيات التصدير.
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Logicaldoc Community Edition