CVE-2026-76907

LaSuite Doc əməkdaşlıq şəklində qeydlər götürmə, wiki və sənədləşdirmə platformasıdır. 4.8.2 versiyasından 5.4.0 versiyasına qədər, GET /api/v1.0/documents/search/ sorğusu, çağıranın ictimai sənəd UUID-nə sahib olmasını tələb etmədən, alt axtarışları məhdudlaşdırmaq üçün ardıcıl yeddirəqəmi sənəd yollarını qəbul edir. Autentifikasiya olunmamış istifadəçi boş axtarış sorğusu göndərə və proqnozlaşdırıla bilən yol dəyərləri üzrə iterasiya edərək ictimai sənəd alt ağaclarını sadalayaraq sənəd identifikatorlarını, başlıqlarını, yaradıcı məlumatlarını, vaxt möhürlərini və ağac metadata-sını əldə edə bilər. Hər bir açıqlanan identifikator daha sonra sənəd məzmununu əldə etmək üçün normal ictimai sənəd son nöqtələri (endpoints) vasitəsilə istifadə edilə bilər və fərqli olan 403 Forbidden və 404 Not Found cavabları təxmin edilən yolun mövcud olub-olmadığını aşkar edir. Autentifikasiya olunmuş istifadəçilər eynilə autentifikasiya edilmiş keçid imkanları ilə sənədləri kəşf edə bilərlər, məhdudiyyətli sənədlər isə qorunmuş qalır. Bu problem 5.4.0 versiyasında düzəldilmişdir.