CVE-2026-112240
Publiée le 2026-10-20 · Dernière modification le 2026-10-20
Le logiciel concerné utilise un formulaire de téléchargement de fichiers qui génère des jetons de téléchargement prévisibles et ne vérifie pas correctement les noms de fichiers. Comme les jetons suivent un modèle devinable et sont envoyés en texte clair via des e-mails de notification, le système ne peut pas garantir de manière fiable que seul le destinataire prévu accède à un fichier. Cette faille se situe dans la logique régissant la manière dont le serveur valide les requêtes pour le contenu téléchargé.
Un attaquant distant non authentifié peut exploiter cette vulnérabilité pour télécharger des fichiers mis en ligne par d'autres utilisateurs, compromettant ainsi la confidentialité de ces données. L'attaque est relativement simple à exécuter via un réseau et ne nécessite aucun privilège spécial ni interaction de la part de l'utilisateur. Toutefois, l'attaquant doit réussir à deviner ou à intercepter un jeton valide pour récupérer un fichier spécifique.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The download link for files uploaded through a form relied on a token that could be predicted. The file name in the request was also not verified in a way that resisted guessing. An unauthenticated attacker could use this to access files uploaded by other visitors. In addition, the token was shown in plain text in the text version of the notification email.