CVE-2026-112003
Publiée le 2026-10-18 · Dernière modification le 2026-10-19
Les versions 2.0.0 à 2.6.9 de ProjectSend sont concernées. Ce logiciel est utilisé pour partager des fichiers en toute sécurité avec des clients. La faille se situe dans le scanner de fichiers orphelins, où l'absence d'une validation appropriée du chemin permet à un utilisateur d'utiliser des alias de chemin relatif, tels que « ./ », pour tromper le système et lui faire identifier des fichiers suivis comme étant orphelins.
Un membre du personnel authentifié disposant des permissions « import_orphans » peut exploiter cette faille via le réseau pour supprimer ou s'approprier des fichiers appartenant à d'autres utilisateurs. Cela affecte l'intégrité et la disponibilité des données stockées en contournant la restriction « delete_others_files ». L'attaque est relativement facile à exécuter une fois que l'attaquant dispose d'un accès basique à un compte membre du personnel.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
ProjectSend 2.0.0 before 2.7.0 contains a path validation flaw in OrphanFileScanner::isOrphan() that allows staff with import_orphans permission to treat tracked files as orphans. Attackers can submit ./ path aliases to the orphans import or delete endpoints, deleting or adopting other owners' files while bypassing delete_others_files.