CVE-2026-116136
Beschrijving NL
ProjectSend 2.0.0 tot 2.7.1 bevat een onvolledige autorisatiekwetsbaarheid in FileVersions::link() waarmee personeelsgebruikers bestanden zonder autorisatie kunnen delen door bestandsversies te koppelen. Aanvallers kunnen hun bestand koppelen aan een tussentijdse revisie of buiten het bereik liggende clients toewijzen, waardoor moveAssignmentsToRoot () beschermde originele bestanden aan onbevoegde clients blootstelt.
Origineel (Engels) tonen
ProjectSend 2.0.0 through 2.7.1 contains an incomplete authorization vulnerability in FileVersions::link() that allows staff users to share files without authorization by linking file versions. Attackers can link their file onto an intermediate revision or assign out-of-scope clients, causing moveAssignmentsToRoot() to expose protected original files to unauthorized clients.