CVE-2026-71234 in Community
要約
〜によって VulDB • 2026年08月05日
Documize Community の添付ファイルダウンロードルート（domain/attachment/endpoint.go、Download 関数、AddPublic を介して登録されており認証ミドルウェアなし）は `secure` クエリパラメータを受け入れ、このパラメータが単に空でない場合（len(secureToken) > 0）、サーバー側に保存されている値との比較を行わずにアクセスを許可します。?secure=x のような空ではない文字列であれば、認証を完全にバイパスして任意の組織の添付ファイルをダウンロードできます。同じファイル内の兄弟ハンドラ（togglePublish、delete）はセッションベースの認可を正しく適用しており、これは意図的な設計ではなく不整合であることを示しています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.