Qué es y cómo funciona
BookStack antes de la versión 26.09.3 contiene una vulnerabilidad de autorización faltante en ImageController::checkImagePermission(). Cuando una página es movida al recycle bin (eliminación temporal), la verificación de permisos que depende de Page::getPage() retorna null para páginas soft-deleted y omite silenciosamente la comprobación PageView. Esto permite a usuarios autenticados no administradores eludir las restricciones a nivel de página para imágenes.
Impacto y explotación
Atacantes pueden enumerar IDs secuenciales de imágenes mediante GET /images/edit/{id} para divulgar metadatos de imágenes restringidas. Usuarios con privilegios image-update-all o image-delete-all pueden renombrar, reemplazar o eliminar permanentemente imágenes pertenecientes a contenido que no pueden ver, persistiendo el daño incluso después de restaurar la página. La vulnerabilidad tiene un CVSS de 4.2 y es clasificada por INCIBE-CERT (España) con severidad P. Actualmente, Shodan no reporta hosts expuestos con esta vulnerabilidad detectada.
Qué hacer
Actualiza BookStack a la versión 26.09.3 o superior para parchar esta vulnerabilidad.
| CVE | CVE-2026-125870 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 4.2 / 10 |
| CWE | CWE-863 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).