ProjectSend 2.0.0–2.7.1: обход авторизации через связывание версий файлов (CVE-2026-116136)
В ProjectSend версий 2.0.0–2.7.1 обнаружена уязвимость неполной авторизации в методе FileVersions::link(). Пользователи с ролью staff могут связывать версии файлов и тем самым открывать защищённые исходные файлы клиентам вне области доступа. Уровень опасности — средний (CVSS 6).
Подробности
Уязвимость CVE-2026-116136 присутствует в ProjectSend версий с 2.0.0 по 2.7.1 включительно. Причина — неполная авторизация в методе FileVersions::link(). Пользователь с ролью staff может связать собственный файл с промежуточной ревизией существующего файла либо назначить клиентов, находящихся вне разрешённой области доступа. В результате срабатывает функция moveAssignmentsToRoot(), которая переносит назначения на корневую (исходную) версию файла, из-за чего защищённые оригинальные файлы становятся доступны неавторизованным клиентам. Таким образом, эксплуатация не требует прав администратора: достаточно учётной записи сотрудника. Это повышает риск внутренних утечек и несанкционированного распространения конфиденциальных документов между клиентскими аккаунтами. Уязвимости присвоен уровень CVSS 6 (MEDIUM) — она требует наличия аутентификации и определённых условий, но приводит к нарушению конфиденциальности.Что делать
Рекомендуется обновить ProjectSend до версии, в которой устранена указанная проблема: проверьте наличие свежего релиза у производителя и ознакомьтесь с сопутствующим бюллетенем безопасности. Если немедленное обновление невозможно, примените компенсирующие меры: - ограничьте число пользователей с ролью staff и пересмотрите их полномочия по работе с версиями файлов; - включите журналирование действий по связыванию версий и назначению клиентов, отслеживайте подозрительную активность; - проведите аудит существующих связей версий и назначений клиентам, чтобы выявить несанкционированный доступ к защищённым файлам; - ограничьте сетевой доступ к административным и клиентским интерфейсам ProjectSend. Итог: уязвимость CVE-2026-116136 позволяет сотрудникам с ролью staff распространять защищённые файлы в обход авторизации. Несмотря на средний уровень опасности, последствия для конфиденциальности документов могут быть существенными, поэтому обновление продукта и контроль прав staff-пользователей следует выполнить в приоритетном порядке.Источник: CVE Project (cvelistV5)