CVE-2026-67204

Nome do Software Vulnerável e Versões Afetadas BookStack versões anteriores a 26.05.4

Description Um controle de acesso quebrado permite que usuários autenticados da API com permissões de image-update ou image-delete manipulem avatares de outros usuários. Isso ocorre devido à ausência de restrições de content-type nos endpoints da API de Galeria de Imagens. Um invasor pode fornecer o ID do avatar de um usuário ao controlador da API, que ignora as restrições de galeria e drawio normalmente impostas pelo controlador web. Se o campo uploaded to do avatar corresponder a um ID de página acessível ao invasor, a verificação de autorização é ignorada, permitindo que o invasor renomeie, substitua ou exclua o avatar do alvo sem a necessidade de permissões de gerenciamento de usuário.

Recommendations Atualize o BookStack para a versão 26.05.4 ou posterior.