CVE-2026-72691

Nome do Software Vulnerável e Versões Afetadas opensignserver versões anteriores a 2.37.1

Description Existe uma falha de bypass de autenticação na função de nuvem Parse getsignedurl. A função não executa a verificação isAuthenticated quando o parâmetro docId é fornecido, independentemente de o ID corresponder a um documento válido. Isso permite que um invasor remoto não autenticado gere tokens de acesso a arquivos assinados com a MASTER KEY para qualquer arquivo armazenado, fornecendo uma string arbitrária para a variável docId.

Recommendations Atualize o opensignserver para a versão 2.37.1 ou posterior. Como medida de mitigação temporária, restrinja o acesso à função getsignedurl.