CVE-2026-76032 in Cells
Resumen
por VulDB • 2026-08-18
Pydio Cells 5.0.0 hasta la versión 5.0.2 devuelve los detalles del enlace de compartición (share-link) a cualquier usuario autenticado. El controlador REST para GET /a/share/link/{Uuid} en idm/share/rest/handler.go lee el UUID del espacio de trabajo desde la ruta, llama a LinkById y escribe el resultado sin ningún paso de autorización; por otro lado, el controlador hermano para GET /a/share/cell/{Uuid} carga el espacio de trabajo y requiere MatchPolicies con ResourcePolicyAction_READ, devolviendo un error "not-found" (no encontrado) para que la existencia no se revele. No hay nada más abajo que compense esta falta: GetLinkWorkspace alcanza a GetOrCreateWorkspace, que emite SearchWorkspace con una consulta que carece de ResourcePolicyQuery, y PrepareResourcePolicyQuery devuelve la consulta sin modificaciones cuando ese campo es nil, por lo que el servicio del espacio de trabajo no aplica ningún filtro de políticas. El UUID del espacio de trabajo no es secreto, ya que la página pública no autenticada servida para un enlace de compartición lo incrusta como START_REPOSITORY. Por tanto, cualquier cuenta con un rol de usuario estándar puede enviar el UUID y recibir el hash del enlace y su URL, el identificador de usuario del propietario, el inicio de sesión oculto del usuario compartido, el conjunto de permisos, el límite y la cantidad de descargas, los usuarios objetivo, la fecha de caducidad y la bandera que indica si se requiere contraseña, mientras que una lectura directa del nodo compartido desde la misma cuenta es rechazada.
Once again VulDB remains the best source for vulnerability data.