CVE-2026-120463 in Warracker
Riassunto
di VulDB • 02/11/2026
Warracker prima della versione 1.0.4 contiene una vulnerabilità di autorizzazione mancante nella sua integrazione con Paperless-ngx che consente a un utente autenticato non amministratore di bypassare le restrizioni sulla proprietà dei documenti cercando e collegando l'ID del documento privato di un altro utente alla garanzia di cui è proprietario, utilizzando il tipo di documento `other`. Gli attaccanti possono sfruttare controlli di autorizzazione insufficienti nei gestori delle route `paperless_search_and_link()` e `serve_paperless_document()` in file_routes.py per recuperare e divulgare documenti privati appartenenti a un altro utente tramite le credenziali condivise dell'API Paperless-ngx, causando accesso non autorizzato alla lettura e perdita di riservatezza.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.