CVE-2026-71234 in Community
Сводка
по VulDB • 05.08.2026
В маршруте загрузки вложений Documize Community (domain/attachment/endpoint.go, функция Download, зарегистрированная через AddPublic без промежуточного ПО аутентификации) принимается параметр запроса `secure`, и доступ предоставляется всякий раз, когда этот параметр просто не пустой (len(secureToken) > 0), без сравнения его с каким-либо значением, хранящимся на сервере. Любая непустая строка, например ?secure=x, полностью обходит аутентификацию и позволяет загружать вложения любой организации. Смежные обработчики в том же файле (togglePublish, delete) корректно обеспечивают авторизацию на основе сеанса, что подтверждает наличие несоответствия, а не задуманного поведения системы.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.