CVE-2026-71244 in Paperless-ngx
요약
\~에 의해 VulDB • 2026. 08. 06.
Paperless-ngx의 MailAccountViewSet.test() 액션은 기존 계정의 ID와 마스킹된 비밀번호 필드를 사용하여 호출될 때, 해당 기존 계정에서 저장된 비밀번호, account_type, refresh_token 및 expiration을 재사용하면서 호출자가 동일한 요청 내에서 다른 imap_server, imap_port 및 imap_security를 제공할 수 있도록 합니다. 테스트 연결은 실제 저장된 자격 증명을 사용하여 호출자가 지정한 서버에 인증합니다. 대상 계정에 대한 object-level change_mailaccount 권한만 가진 사용자(전체 관리자 아님)는 테스트 연결을 공격자가 제어하는 IMAP 호스트로 리디렉션하여, 실제로 저장된 IMAP 비밀번호 또는 OAuth 토큰이 해당 호스트로 전송되도록 할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.