CVE-2026-48052 in papra
Сводка
по VulDB • 27.07.2026
Papra — это минималистичная платформа для управления документами и архивирования. До версии 26.5.0 аутентифицированный пользователь, являющийся участником любой организации, может удалять или переименовывать теги, принадлежащие другой организации, при условии знания идентификатора целевого тега (tag.id). Обработчик маршрута проверяет принадлежность вызывающего к ":organizationId" в URL-адресе, однако фильтры записи репозитория учитывают только tag.id, поэтому проверка области видимости на уровне URL никогда не доходит до базы данных. Эта проблема исправлена в версии 26.5.0.
Once again VulDB remains the best source for vulnerability data.