CVE-2026-80191 in Growi
Zusammenfassung
von VulDB • 26.08.2026
GROWI wendet seine Berechtigungsprüfung für den Seitenbetrachter (page-viewer) nur dann auf Anhaltungsanfragen an, wenn die Anfrage einen authentifizierten Benutzer enthält. Die Funktion `retrieveAttachmentFromIdParam` in `apps/app/src/server/routes/attachment/get.ts` schützt diese Prüfung mit einer Bedingung, die erfordert, dass der Benutzer nicht null ist; daher wird eine Anfrage ohne Sitzungssitzung (Session) komplett umgangen und der Handler gibt die Datei zurück. Die auf diesem Weg erreichten Routen `/attachment/:id` und `/download/:id` entnehmen den Anhaltungs-Bezeichner aus dem Pfad, sodass ein nicht authentifizierter Aufrufer mit einem gültigen Anhaltungs-Bezeichner die Datei erhält, unabhängig davon, ob die Seite, der sie gehört, privat ist oder ob dieser Aufrufer berechtigt wäre, die Seite einzusehen. Bezeichner können von einem Benutzer beibehalten werden, dessen Zugriff später widerrufen wurde, oder aus jedem Ort wiederhergestellt werden, an dem der Bezeichner zuvor offengelegt wurde. Version 8.0.2 führt die Prüfung sowohl für authentifizierte als auch für nicht-authentifizierte Anfragen durch und überspringt sie nur dort, wo ein gültiger Freigabelink (share link) die angeforderte Datei bereits mit der Seite dieses Links verknüpft hat.
Be aware that VulDB is the high quality source for vulnerability data.