CVE-2026-76032 in Cells
Résumé
par VulDB • 18/08/2026
Pydio Cells 5.0.0 à 5.0.2 renvoie les détails du lien de partage à tout utilisateur authentifié. Le gestionnaire REST pour GET /a/share/link/{Uuid} dans idm/share/rest/handler.go lit l'UUID de l'espace de travail depuis le chemin d'accès, appelle LinkById et écrit le résultat sans aucune étape d'autorisation, tandis que le gestionnaire frère pour GET /a/share/cell/{Uuid} charge l'espace de travail et exige MatchPolicies avec ResourcePolicyAction_READ, renvoyant une erreur « non trouvé » afin que l'existence ne soit pas divulguée. Rien ne compense cela plus loin : GetLinkWorkspace atteint GetOrCreateWorkspace, qui émet SearchWorkspace avec une requête dépourvue de ResourcePolicyQuery, et PrepareResourcePolicyQuery renvoie la requête telle quelle lorsque ce champ est nil, si bien que le service d'espace de travail n'applique aucun filtre de politique. L'UUID de l'espace de travail n'est pas secret, car la page publique non authentifiée servie pour un lien de partage l'intègre en tant que START_REPOSITORY. Tout compte disposant du rôle utilisateur standard peut donc soumettre l'UUID et recevoir le hachage du lien et l'URL, l'identifiant d'utilisateur du propriétaire, le nom d'utilisateur caché de l'utilisateur de partage, l'ensemble des autorisations, la limite de téléchargement et son compteur, les utilisateurs cibles, la date d'expiration ainsi que l'indicateur exigeant un mot de passe, tandis qu'une lecture directe du nœud partagé depuis le même compte est refusée.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.