CVE-2026-112002

ProjectSend r1605 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na przesyłanie złośliwych plików poprzez manipulowanie rozszerzeniami plików. Atakujący mogą przesyłać skrypty powłoki z zamaskowanymi rozszerzeniami przez endpoint upload.process.php, aby wykonać dowolne polecenia na serwerze.

ProjectSend w wersjach od 2.0.0 do 2.7.1 zawiera niekompletną lukę w autoryzacji w FileVersions::link(), która pozwala użytkownikom personelu udostępniać pliki bez autoryzacji poprzez łączenie wersji plików. Atakujący mogą podłączyć swój plik do pośredniej rewizji lub przypisać klientów spoza zakresu, powodując, że moveAssignmentsToRoot() ujawnia chronione oryginalne pliki nieuprawnionym klientom.

ProjectSend w wersjach od 2.0.0 do przed 2.7.0 zawiera błąd walidacji ścieżek w funkcji OrphanFileScanner::isOrphan(), który pozwala pracownikom z uprawnieniem import_orphans traktować śledzone pliki jako osierocone. Atakujący może przesłać aliasy ścieżek ./ do punktów końcowych importu lub usuwania osieroconych plików, usuwając lub przejmując pliki innych właścicieli z pominięciem uprawnienia delete_others_files.

ProjectSend w wersjach od 2.0.0 do 2.7.0 zawiera podatność nieprawidłowej autoryzacji, która pozwala posiadaczom ograniczonego tokenu API zmieniać poświadczenia właściciela tokenu poprzez PATCH /api/v1/users/{user}. Atakujący z tokenem ograniczonym do manage_users i edit_users może ustawić nowe hasło właściciela, wyczyścić uwierzytelnianie dwuskładnikowe i zalogować się interaktywnie z pełnymi uprawnieniami właściciela.

ProjectSend r2029 zawiera odzwierciedloną podatność XSS w thumbnails-regenerate.php, która pozwala zdalnym atakującym na wstrzyknięcie dowolnego HTML i JavaScript poprzez podanie niesanityzowanych wartości w parametrach GET start_date i end_date, które są echoowane bez escapowania do wartości atrybutów HTML. Atakujący może stworzyć złośliwy URL, który po kliknięciu przez uwierzytelnioną ofiarę z uprawnieniami edit_settings wykonuje wstrzyknięte skrypty w originie aplikacji, co może prowadzić do kradzieży ciasteczek sesji lub nieautoryzowanych działań, w tym zarządzania użytkownikami, plikami i zmianami ustawień aplikacji.

Trwały XSS w Projectsend r1295. Uwierzytelnieni atakujący mogą wstrzyknąć złośliwy skrypt przez parametr 'name' w pliku files-edit.php, który wykonuje się u administratorów na Dashboardzie.

Podatność na Cross-Site Request Forgery (CSRF) w ProjectSend r2002 w pliku upload.php. Atak może być przeprowadzony zdalnie. Publicznie dostępny jest exploit.

Podatność w skrypcie reset-password.php w ProjectSend przed wersją r1295 umożliwia zdalnemu atakującemu zresetowanie hasła użytkownika z powodu błędnej logiki biznesowej. Błędy nie są odpowiednio obsługiwane, w szczególności nieprawidłowy parametr tokena.