5.4
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
MrDoc through 1.1.1 contains a broken access control vulnerability in the manage_doc_share type 3 branch that allows authenticated users to modify other users' document share settings because updates lack an ownership check. Attackers can compute predictable share tokens from the MD5 of document ID and username to re-enable disabled shares or remove access codes, exposing private documents.
Засегнати продукти
- zmister2016 MrDoc: до 1.1.1
Вид слабост
История
- 27 октомври 2026 Публикувано
Други уязвимости в zmister2016 MrDoc
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-117563
- https://nvd.nist.gov/vuln/detail/CVE-2026-117563
- https://github.com/zmister2016/MrDoc/issues/208
- https://github.com/zmister2016/MrDoc
- https://github.com/zmister2016/MrDoc/commit/2cd13ff0659dbef9aea59d5af122a21204942262
- https://github.com/zmister2016/MrDoc/blob/v1.1.1/app_doc/views.py#L1835-L1849
- https://www.vulncheck.com/advisories/mrdoc-through-1.1.1-broken-access-control-via-manage-doc-share