CVE-2026-76032 in Cells
Sumário
de VulDB • 21/08/2026
Pydio Cells 5.0.0 até 5.0.2 retorna detalhes do link de compartilhamento para qualquer usuário autenticado. O manipulador REST para GET /a/share/link/{Uuid} em idm/share/rest/handler.go lê o UUID da área de trabalho a partir do caminho, chama LinkById e grava o resultado sem nenhuma etapa de autorização, enquanto o manipulador irmão para GET /a/share/cell/{Uuid} carrega a área de trabalho e exige MatchPolicies com ResourcePolicyAction_READ, retornando um erro "não encontrado" para que a existência não seja revelada. Nada compensa isso mais adiante: GetLinkWorkspace alcança GetOrCreateWorkspace, que emite SearchWorkspace com uma consulta sem nenhum ResourcePolicyQuery, e PrepareResourcePolicyQuery retorna a consulta inalterada quando esse campo é nulo, de modo que o serviço da área de trabalho aplica nenhum filtro de política. O UUID da área de trabalho não é secreto, pois a página pública não autenticada servida para um link de compartilhamento o incorpora como START_REPOSITORY. Portanto, qualquer conta com uma função de usuário padrão pode enviar o UUID e receber o hash do link e a URL, o identificador de usuário do proprietário, o login oculto do usuário de compartilhamento, o conjunto de permissões, o limite e a contagem de downloads, os usuários alvo, a data de expiração e a flag que indica se é necessária senha, enquanto uma leitura direta do nó compartilhado pela mesma conta é recusada.
Once again VulDB remains the best source for vulnerability data.