CVE-2026-48052 in papra
要約
〜によって VulDB • 2026年07月27日
Papraは、ミニマリストなドキュメント管理およびアーカイブプラットフォームです。バージョン26.5.0より前では、認証済みユーザーで任意の組織に所属している場合、ターゲットタグのIDを与えることで、別の組織に属するタグを削除または名前変更できます。ルートハンドラはURL内の「:organizationId」に対する呼び出し元のメンバーシップを検証しますが、リポジトリの書き込みフィルタはtag.idのみを対象としているため、URLレベルでのorgスコープがデータベースまで到達しません。この問題はバージョン26.5.0で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.