CVE-2026-120449
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions d'Outline antérieures à la 1.12.0 sont affectées par une faille de contrôle d'accès inapproprié. Ce logiciel est utilisé pour la gestion et le partage de documents. La vulnérabilité existe car le chargeur de partage ignore si un document est marqué comme non publié, permettant ainsi au système de diffuser du contenu qui devrait être masqué.
Un attaquant peut lire des documents non publiés ou retirés s'il possède un lien de partage valide. Cela impacte la confidentialité de vos données, mais ne permet pas la modification ou la suppression de fichiers. L'exploitation est facile à exécuter via un réseau, ne nécessite aucune authentification et ne requiert aucune interaction de la part de l'administrateur du serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Outline before 1.12.0 contains an improper access control vulnerability that allows unauthenticated users to read unpublished documents because the share loader ignores unpublished status. Attackers holding an existing share link can query shares.info, documents.info, or the /s/ share routes to read withdrawn content, while shares.revoke returns 404 and blocks revocation.