PT-2026-30854 · Papra · Papra

Toothless5143 · Publicado 2026-04-07 · Atualizado 2026-04-07 · CVE-2026-35461

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Name of the Vulnerable Software and Affected Versions Papra versões anteriores a 26.4.0

Description O sistema de webhook do Papra permite que usuários autenticados registrem URLs arbitrários como endpoints de webhook sem validação. O servidor envia solicitações HTTP POST para esses URLs registrados, que podem incluir localhost, endereços de rede interna e endpoints de metadados de provedores de nuvem, sempre que um evento de documento ocorrer.

Recommendations Atualize para a versão 26.4.0 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-35461

Produtos afetados

Papra

Referências · 3

• 🔥 https://github.com/papra-hq/papra/security/advisories/GHSA-cjw7-qg95-58mq · Exploit
• https://twitter.com/CVEnew/status/2041603238097547573 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-35461 · Nota de Segurança