CVE-2026-76032

Pydio Cells 5.0.0 ile 5.0.2 sürümleri arasındaki versiyonlar, paylaşım bağlantısı detaylarını herhangi bir kimliği doğrulanmış kullanıcıya döndürmektedir. idm/share/rest/handler.go dosyasındaki GET /a/share/link/{Uuid} için olan REST işleyicisi, çalışma alanı UUID'sini yoldan okur, LinkById fonksiyonunu çağırır ve sonucu herhangi bir yetkilendirme adımı olmadan yazar; buna karşın GET /a/share/cell/{Uuid} için olan kardeş işleyici, çalışma alanını yükler ve ResourcePolicyAction_READ ile MatchPolicies gerektirerek varlığın ifşa edilmemesi için bir bulunamadı hatası döndürür. Daha alt aşamalarda bunu telafi eden bir mekanizma yoktur: GetLinkWorkspace, ResourcePolicyQuery içermeyen bir sorguyla SearchWorkspace işlemini gerçekleştiren GetOrCreateWorkspace'e ulaşır ve söz konusu alan nil olduğunda PrepareResourcePolicyQuery sorguyu değiştirilmeden döndürür, böylece çalışma alanı servisi herhangi bir politika filtresi uygulamaz. Paylaşım bağlantısı için sunulan kimlik doğrulaması yapılmamış genel sayfa, çalışma alanı UUID'sini START_REPOSITORY olarak gömdüğü için bu bilgi gizli değildir. Bu nedenle, standart kullanıcı rolüne sahip herhangi bir hesap, UUID'yi göndererek bağlantı karmasını (hash) ve URL'sini, sahibinin kullanıcı tanımlayıcısını, gizli paylaşım kullanıcısı girişini, izin kümesini, indirme sınırını ve sayısını, hedef kullanıcıları, son kullanma tarihini ve şifre gereksinimi bayrağını alabilirken, aynı hesap üzerinden paylaşılan düğümün doğrudan okunması reddedilir.