CVE-2026-67204

BookStack 26.05.4 öncesi sürümler, image-update veya image-delete izinlerine sahip kimliği doğrulanmış API kullanıcılarının, Image Gallery API uç noktalarındaki eksik içerik türü kısıtlamalarını istismar ederek diğer kullanıcıların avatarlarını manipüle etmesine olanak tanıyan bir hatalı erişim kontrolü zafiyeti içermektedir. Saldırganlar, web denetleyicisinin galeri ve drawio kısıtlamaları olmaksızın herhangi bir görüntü türünü yükleyen API denetleyicisine bir kullanıcı avatarının ID'sini sağlayabilir; avatarın uploaded_to alanı saldırgan tarafından erişilebilen bir sayfa ID'si ile eşleştiğinde yetkilendirme kontrolü geçer ve bu durum saldırganın user-management iznine ihtiyaç duymadan hedef kullanıcının avatarını yeniden adlandırmasına, değiştirmesine veya silmesine olanak tanır.