CVE-2026-116020
Beschrijving NL
BookStack vóór 26.09.2 bevat een onjuist autorisatieprobleem in AttachmentController waarmee geverifieerde gebruikers op ID toegang hebben tot de conceptpagina-bijlagen van andere gebruikers. Aanvallers met machtigingen voor bijlagen kunnen opeenvolgende bijlage-ID's opsommen om bestanden op de niet-gepubliceerde conceptpagina's van een andere gebruiker te downloaden, te hernoemen, opnieuw te koppelen of te vervangen.
Origineel (Engels) tonen
BookStack before 26.09.2 contains an incorrect authorization vulnerability in AttachmentController that allows authenticated users to access other users' draft page attachments by ID. Attackers with attachment permissions can enumerate sequential attachment IDs to download, rename, relink, or replace files on another user's unpublished draft pages.