CVE-2026-71244 in Paperless-ngx
الملخص
بحسب VulDB • 05/08/2026
إجراء `test()` في فئة `MailAccountViewSet` الخاصة بـ Paperless-ngx، عند استدعاؤه بمعرف حساب موجود وحقل كلمة مرور مقنّع (مُخفّى)، يعيد استخدام كلمة المرور المخزنة، ونوع الحساب (`account_type`)، ورمز التحديث (`refresh_token`)، وتاريخ الانتهاء من ذلك الحساب الموجود، مع السماح للمُدخل بتوفير قيم مختلفة لخادم IMAP (`imap_server`)، والمنفذ (`imap_port`)، وأمن الاتصال (`imap_security`) في نفس الطلب. ثم يقوم الاختبار بالمصادقة إلى الخادم المحدد بواسطة المُدخل باستخدام بيانات الاعتماد الحقيقية المخزنة. يمكن للمستخدم الذي يمتلك فقط إذن `change_mailaccount` على مستوى الكائن للحساب المستهدف (وليس امتيازات المسؤول الكامل) إعادة توجيه اتصال الاختبار إلى مضيف IMAP يتحكم فيه المهاجم، مما يؤدي إلى إرسال كلمة مرور IMAP الحقيقية أو رمز OAuth المخزن إلى ذلك المضيف.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.