CVE-2026-48052 in papra
Résumé
par VulDB • 27/07/2026
Papra est une plateforme de gestion et d'archivage de documents minimaliste. Avant la version 26.5.0, un utilisateur authentifié qui est membre d'une organisation quelconque peut supprimer ou renommer des étiquettes appartenant à une autre organisation, en connaissant l'ID de l'étiquette cible. Le gestionnaire de route vérifie l'appartenance de l'utilisateur à « :organizationId » dans l'URL, mais les filtres d'écriture du référentiel ne portent que sur tag.id, si bien que la portée liée à l'organisation au niveau de l'URL n'est jamais transmise à la base de données. Ce problème a été corrigé dans la version 26.5.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.