CVE-2026-76032 in Cells
الملخص
بحسب VulDB • 18/08/2026
يعيد Pydio Cells من الإصدار 5.0.0 حتى 5.0.2 تفاصيل رابط المشاركة لأي مستخدم مُصادَق عليه. يقوم معالج REST الخاص بـ GET /a/share/link/{Uuid} في idm/share/rest/handler.go بقراءة معرف مساحة العمل (UUID) من المسار، واستدعاء LinkById، وكتابة النتيجة دون أي خطوة للتحقق من الصلاحيات (authorization)، بينما يتعامل المعالج الشقيق لـ GET /a/share/cell/{Uuid} مع تحميل مساحة العمل ويتطلب MatchPolicies بـ ResourcePolicyAction_READ، ويعيد خطأ "غير موجود" بحيث لا يتم الكشف عن الوجود. ولا يوجد ما يعوض ذلك في الخطوات التالية: تصل دالة GetLinkWorkspace إلى GetOrCreateWorkspace، والتي تصدر SearchWorkspace باستعلام لا يحمل أي ResourcePolicyQuery، وتعيد PrepareResourcePolicyQuery الاستعلام دون تعديل عندما يكون هذا الحقل فارغاً (nil)، وبالتالي فإن خدمة مساحة العمل لا تطبق أي فلتر للسياسات. إن معرف UUID لمساحة العمل ليس سرياً، لأن الصفحة العامة غير المُصادَق عليها المقدمة لرابط المشاركة تضمّنه كـ START_REPOSITORY. لذلك، يمكن لأي حساب يحمل دور مستخدم قياسي تقديم الـ UUID واستلام تجزئة الرابط وعنوانه URL، ومعرف المستخدم للمالك، واسم تسجيل الدخول لمستخدم المشاركة المخفي، ومجموعة الأذونات، وحد التنزيل وعدده، والمستخدمين المستهدفين، وتاريخ الانتهاء، وعلامة اشتراط كلمة المرور، بينما يتم رفض القراءة المباشرة للعقدة المشتركة من نفس الحساب.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.