CVE-2026-71244

Nome do Software Vulnerável e Versões Afetadas Paperless-ngx (versões afetadas não especificadas)

Description Um problema existe na ação MailAccountViewSet.test(). Quando esta ação é chamada usando um ID de conta existente e um campo de senha mascarado, o sistema reutiliza a senha armazenada, account type, refresh token e expiração dessa conta. No entanto, permite que o chamador especifique um imap server, imap port e imap security diferentes na mesma requisição. Consequentemente, a conexão de teste autentica-se no servidor especificado pelo chamador usando as credenciais reais armazenadas. Um usuário com permissão de nível de objeto change mailaccount na conta alvo pode redirecionar a conexão de teste para um host IMAP controlado por um invasor, resultando no vazamento da senha IMAP ou token OAuth armazenados.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.