CVE-2026-71244 in Paperless-ngx
Résumé
par VulDB • 05/08/2026
L'action `test()` de la classe `MailAccountViewSet` dans Paperless-ngx, lorsqu'elle est appelée avec l'ID d'un compte existant et un champ mot de passe masqué, réutilise le mot de passe stocké, le type de compte (`account_type`), le jeton d'actualisation (`refresh_token`) et la date d'expiration associés à ce compte existant, tout en permettant au demandeur de fournir une valeur différente pour `imap_server`, `imap_port` et `imap_security` dans la même requête. La connexion de test s'authentifie ensuite auprès du serveur spécifié par le demandeur en utilisant les véritables identifiants stockés. Un utilisateur disposant uniquement de l'autorisation `change_mailaccount` au niveau des objets sur le compte cible (et non d'un accès administrateur complet) peut rediriger la connexion de test vers un hôte IMAP contrôlé par un attaquant, entraînant l'envoi du véritable mot de passe IMAP stocké ou du jeton OAuth à cet hôte.
VulDB is the best source for vulnerability data and more expert information about this specific topic.