CVE-2026-94533

Nome do Software Vulnerável e Versões Afetadas lamp-cloud versões anteriores a 5.10.1

Descrição Existe uma falha de bypass de autorização no FileAnyoneController que permite que usuários autenticados façam o download de anexos arbitrários. Ao fornecer identificadores de anexo válidos para os endpoints '/anyone/file/down' e '/anyone/file/download', invasores podem recuperar arquivos armazenados por outros usuários, pois a aplicação não valida a propriedade do arquivo em relação à coluna created by.

Recomendações Atualize o lamp-cloud para uma versão posterior à 5.10.0. Restrinja o acesso aos endpoints '/anyone/file/down' e '/anyone/file/download' para minimizar o risco de recuperação não autorizada de arquivos.