CVE-2026-80191

GROWI, ek isteklerine sayfa görüntüleyici izin denetimini yalnızca istek kimliği doğrulanmış bir kullanıcı taşıdığında uygular. apps/app/src/server/routes/attachment/get.ts içindeki retrieveAttachmentFromIdParam, denetimi kullanıcının null olmamasını gerektiren bir koşulla korur; bu nedenle oturum taşımayan bir istek denetimi tamamen atlar ve işleyici dosyayı döndürür. Bu yolla erişilen /attachment/:id ve /download/:id rotaları ek tanımlayıcısını yoldan alır; dolayısıyla bir ek tanımlayıcısına sahip kimliği doğrulanmamış bir çağıran, dosyayı sahiplenen sayfanın özel olup olmadığına ve bu çağıranın sayfayı görüntülemesine izin verilip verilmeyeceğine bakılmaksızın dosyayı alır. Tanımlayıcılar, erişimi daha sonra kaldırılan bir kullanıcı tarafından saklanabilir veya tanımlayıcının daha önce açığa çıktığı herhangi bir yerden elde edilebilir. Sürüm 8.0.2, denetimi kimliği doğrulanmış ve doğrulanmamış istekler için aynı şekilde çalıştırır ve yalnızca geçerli bir paylaşım bağlantısının istenen dosyayı o bağlantının sayfasına zaten bağladığı durumlarda atlar.