CVE-2026-34213: Docmost has cross-page attachment overwrite via flawed attachmentId overwrite validation

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• docmost docmost0.3.0 и новее · до 0.71.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• docmost docmost

  • >= 0.3.0, < 0.71.0затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-22249Docmost affected by an Arbitrary File Write via Zip Import Feature (ZipSlip)
  39Наблюдать
• CVE-2026-48070Docmost: Avatar URL path traversal in avatar cleanup leads to arbitrary local file deletion
  28Наблюдать
• CVE-2026-65827Docmost: Unbounded ZIP decompression (zip-bomb) in page import allows denial of service
  26Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-3319314 апр. 2026 г. · Docmost vulnerable to stored XSS via MIME type spoofing
  18Наблюдать
• ← РаньшеCVE-2026-3421214 апр. 2026 г. · Docmost page content has stored XSS via unsanitized attachment URLs
  21Наблюдать
• Позже →CVE-2026-4092721 апр. 2026 г. · Docmost: XSS in Comments with JavaScript URI
  21Наблюдать

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.