Documenso before 2.13.0 accepts PDF file uploads on the /api/files/upload-pdf endpoint without...
Résumé
Documenso before 2.13.0 accepts PDF file uploads on the /api/files/upload-pdf endpoint without...
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Documenso before 2.13.0 accepts PDF file uploads on the /api/files/upload-pdf endpoint without requiring authentication, session tokens, or API credentials. Unauthenticated attackers can upload arbitrary PDF files indefinitely to exhaust storage resources or fill the database with unlinked document records.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-82472 a été découverte dans CVE-2026-82472.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « CVE-2026-82472 CVE-2026-82472 » sur le site de l'éditeur.
CVE-2026-82472 (CVE-2026-82472) — CWE-306 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Documensoの特定のAPIエンドポイントで認証なしにPDFファイルをアップロードできる脆弱性。
Documensoバージョン2.13.0未満の/api/files/upload-pdfエンドポイント。
認証なしで任意のPDFファイルをアップロードでき、ストレージリソースを枯渇させる可能性があるため、重大な脆弱性と見なされる。
バージョン2.13.0にアップグレードし、認証を必要とするように設定を変更する。
情報なし
システムで無許可のPDFファイルアップロードを監視し、ログを確認する。