CVE-2026-120463
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Warracker antérieures à la 1.0.4 sont concernées. Ce logiciel est utilisé pour le suivi des garanties, et la faille se situe dans son intégration avec Paperless-ngx. En raison de l'absence de vérifications d'autorisation dans certains gestionnaires de routes, le système ne vérifie pas si un utilisateur est réellement propriétaire d'un document avant de lui permettre de le lier à une garantie.
Un attaquant disposant d'un compte utilisateur standard peut consulter des documents privés appartenant à d'autres utilisateurs, entraînant une perte de confidentialité. Cela est possible en recherchant l'identifiant d'un document privé d'un autre utilisateur et en le liant à ses propres dossiers de garantie. L'exploitation de cette faille nécessite un accès réseau et un compte valide avec des privilèges limités, mais ne requiert ni droits d'administrateur ni interaction de la part de la victime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Warracker before 1.0.4 contains a missing authorization vulnerability in its Paperless-ngx integration that allows an authenticated, non-administrative user to bypass document ownership restrictions by searching for and linking another user's private document ID to a warranty they own using the `other` document type. Attackers can exploit insufficient authorization checks in the `paperless_search_and_link()` and `serve_paperless_document()` route handlers in file_routes.py to retrieve and disclose private documents belonging to another user via the shared Paperless-ngx API credential, resulting in unauthorized read access and confidentiality loss.