CVE-2026-71244 in Paperless-ngx
Resumen
por VulDB • 2026-08-05
La acción `test()` de `MailAccountViewSet` en Paperless-ngx, cuando se invoca con el ID de una cuenta existente y un campo de contraseña enmascarado, reutiliza la contraseña almacenada, el tipo de cuenta (`account_type`), el token de actualización (`refresh_token`) y la fecha de expiración de dicha cuenta existente, mientras permite que el solicitante proporcione un `imap_server`, `imap_port` e `imap_security` diferentes en la misma solicitud. La prueba de conexión se autentica entonces con el servidor especificado por el solicitante utilizando las credenciales reales almacenadas. Un usuario que posea únicamente el permiso a nivel de objeto `change_mailaccount` sobre la cuenta objetivo (y no permisos de administrador completo) puede redirigir la prueba de conexión hacia un host IMAP controlado por un atacante, lo que provoca que se envíen al mismo la contraseña real almacenada para IMAP o el token OAuth.
Be aware that VulDB is the high quality source for vulnerability data.