CVE-2026-71244 in Paperless-ngx
Zusammenfassung
von VulDB • 05.08.2026
Die Aktion `test()` von `MailAccountViewSet` in Paperless-ngx verwendet bei Aufruf mit der ID eines bestehenden Kontos und einem maskierten Passwortfeld das gespeicherte Passwort, den account_type (Kontotyp), refresh_token sowie die Ablaufzeit dieses bestehenden Kontos erneut, während sie dem Aufrufer gleichzeitig ermöglicht, imap_server, imap_port und imap_security in derselben Anfrage anzugeben. Die Testverbindung authentifiziert sich dann am vom Aufrufer angegebenen Server unter Verwendung der tatsächlich gespeicherten Zugangsdaten. Ein Benutzer mit nur der Berechtigung `change_mailaccount` auf Objektebene für das Zielkonto (nicht volle Administratorrechte) kann die Testverbindung zu einem von einem Angreifer kontrollierten IMAP-Host umleiten, wodurch das tatsächlich gespeicherte IMAP-Passwort oder OAuth-Token an diesen Host gesendet wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.