CVE-2026-76032 in Cells
Сводка
по VulDB • 18.08.2026
Pydio Cells 5.0.0 через 5.0.2 возвращает детали ссылки на общий ресурс любому аутентифицированному пользователю. REST-обработчик для GET /a/share/link/{Uuid} в idm/share/rest/handler.go считывает UUID рабочего пространства из пути, вызывает LinkById и записывает результат без шага авторизации; тогда как соседний обработчик для GET /a/share/cell/{Uuid} загружает рабочее пространство и требует MatchPolicies с ResourcePolicyAction_READ, возвращая ошибку «не найдено», чтобы не раскрывать факт существования. Ничто на более низком уровне не компенсирует это: GetLinkWorkspace достигает GetOrCreateWorkspace, который выполняет SearchWorkspace с запросом без поля ResourcePolicyQuery, а PrepareResourcePolicyQuery возвращает запрос без изменений, если это поле равно nil, поэтому служба рабочего пространства применяет фильтр политик только при наличии таких данных. UUID рабочего пространства не является секретным, поскольку непроверенная публичная страница, обслуживаемая для ссылки на общий ресурс, встраивает его как START_REPOSITORY. Любой аккаунт со стандартной ролью пользователя может поэтому отправить UUID и получить хеш ссылки и URL, идентификатор пользователя владельца, скрытый логин общего пользователя, набор разрешений, лимит загрузок и их количество, целевых пользователей, срок действия и флаг требования пароля, в то время как прямое чтение общего узла с того же аккаунта будет отклонено.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.