Warracker 1.0.4 แก้ CVE-2026-120463 ช่องอ่านเอกสาร Paperless-ngx ของผู้อื่น

Warracker 1.0.4 แก้ CVE-2026-120463: ผู้ใช้ทั่วไปอาจเชื่อมและอ่านเอกสาร Paperless-ngx ของผู้อื่น

โครงการโอเพนซอร์ส Warracker ซึ่งใช้จัดการประกันสินค้า ใบเสร็จ และเอกสารที่เกี่ยวข้อง ออกเวอร์ชัน 1.0.4 พร้อมแก้การตรวจสิทธิ์ในส่วนเชื่อมต่อ Paperless-ngx ช่องโหว่ที่ได้รับเลข CVE-2026-120463 ทำให้ผู้ใช้ที่เข้าสู่ระบบแล้วแต่ไม่มีสิทธิ์ผู้ดูแล อาจค้นหาเอกสารส่วนตัวของผู้ใช้รายอื่น นำเอกสารนั้นมาเชื่อมกับรายการประกันของตน และอ่านเนื้อหาผ่าน Warracker ได้ แม้ตามปกติการเปิดเอกสารนั้นจะถูกปฏิเสธ ความเสี่ยงมีเฉพาะระบบที่เปิดการเชื่อมต่อ Paperless-ngx และมีเงื่อนไขสิทธิ์ตรงตามคำเตือนของโครงการ

เส้นทางที่สิทธิ์ถูกข้าม

Warracker ติดต่อ Paperless-ngx ด้วย API credential ที่ใช้ร่วมกัน ในระดับระบบ คำเตือนของโครงการระบุว่าฟังก์ชัน paperless_search() เดิมคืนผลค้นหาตามสิทธิ์ของ credential นี้ โดยไม่ได้กรองให้เหลือเฉพาะเอกสารที่ผู้ใช้ Warracker คนปัจจุบันควรเห็น จากนั้น paperless_search_and_link() ยอมให้ผู้ใช้ที่มีรายการประกันของตนเองนำรหัสเอกสารที่ค้นพบไปผูกกับรายการนั้น รวมถึงชนิดเอกสาร other โดยไม่มีการตรวจว่าผู้ใช้นั้นได้รับอนุญาตให้เห็นเอกสารเป้าหมายหรือไม่

จุดสุดท้ายอยู่ที่ serve_paperless_document() ซึ่งมองว่าเอกสารที่มีรหัสปรากฏอยู่ในรายการประกันของผู้ร้องขอเป็นเอกสารของเขา เมื่อการผูกเอกสารถูกอนุญาตผิดตั้งแต่ก่อนหน้า การดาวน์โหลดจึงกลายเป็นขั้นตอนที่ยืนยันสิทธิ์จากความเชื่อมโยงที่ผู้โจมตีสร้างขึ้นเอง ผู้โจมตีไม่จำเป็นต้องขโมย API token ของ Paperless-ngx โดยตรง เพราะ Warracker เป็นผู้เรียก Paperless-ngx ด้วย credential ร่วมให้

คำเตือนยกตัวอย่างว่า การเรียกดูเอกสารส่วนตัวของผู้อื่นโดยตรงควรได้ HTTP 403 แต่เมื่อผู้ใช้ทั่วไปค้นหาแล้วเชื่อมเอกสารนั้นเข้ากับรายการประกันของตน การเรียกดูอีกครั้งอาจได้ HTTP 200 พร้อมเนื้อหา ข้อความนี้อธิบายกลไกจากการทดสอบของโครงการ ซึ่งใช้ข้อมูลและ Paperless API จำลอง โครงการระบุชัดว่าไม่ได้ทดสอบกับ deployment ของ Paperless-ngx จริงในรูปแบบเดียวกัน จึงไม่ควรกล่าวว่ามีการโจมตีจริงหรือมีเอกสารรั่วไหลแล้ว

ขอบเขตและผลกระทบ

ระเบียน CVE ระบุ Warracker ตั้งแต่ 1.0.0 ถึงก่อน 1.0.4 เป็นช่วงที่ได้รับผลกระทบ และ 1.0.4 เป็นรุ่นแก้ไข คำเตือน GitHub ระบุเวอร์ชันที่ได้รับผลกระทบเป็น 1.0.3 และก่อนหน้า ซึ่งสอดคล้องกับรุ่นแก้ไขเดียวกัน การใช้ประโยชน์ต้องเปิด integration กับ Paperless-ngx, token ที่ตั้งค่าใน Warracker ต้องอ่านเอกสารเป้าหมายได้, ผู้โจมตีต้องมีบัญชี Warracker ปกติและเป็นเจ้าของรายการประกันอย่างน้อยหนึ่งรายการ ส่วนเอกสารเป้าหมายเป็นชนิด other ของผู้ใช้รายอื่นที่ไม่ได้แชร์ให้ผู้โจมตี ไม่มีความจำเป็นต้องให้เจ้าของเอกสารกดลิงก์หรืออนุมัติคำขอ

ผลกระทบหลักคือ การเข้าถึงเอกสารโดยไม่ได้รับอนุญาต เช่น ใบเสร็จ ใบแจ้งหนี้ หรือเอกสารส่วนตัวอื่นที่บัญชีบริการ Paperless-ngx อ่านได้ แม้จะปิด Global View หรือจำกัด Global View ไว้เฉพาะผู้ดูแล ก็ยังไม่ป้องกันเส้นทางนี้ในเวอร์ชันที่มีปัญหา คำเตือนจัดความรุนแรงระดับ Moderate และอธิบายผลด้านความลับของข้อมูล โดยไม่ได้แสดงผลกระทบด้านแก้ไขข้อมูลหรือทำระบบหยุดทำงาน การเข้าถึงอาจคงอยู่ตราบเท่าที่ลิงก์เอกสารที่ผิดสิทธิ์ยังอยู่ในรายการประกันของผู้โจมตี

วันที่เปิดเผย วันที่เผยแพร่ CVE และวันออกแพตช์

หลักฐานสาธารณะจากโครงการที่ยืนยันได้ระบุว่า release Warracker 1.0.4 เผยแพร่บน GitHub เมื่อ 31 ตุลาคม 2026 เวลา 22:23:19 UTC หรือ 1 พฤศจิกายน เวลา 05:23:19 น. ตามเวลาไทย โดย release notes กล่าวถึงการปิดช่องอ่านและเชื่อมเอกสาร Paperless-ngx ของผู้อื่น การเผยแพร่รุ่นพร้อมรายละเอียดการแก้ไขนี้เป็นหลักฐานเปิดเผยต่อสาธารณะก่อนคำเตือน GHSA ในวันเดียวกัน

โครงการเผยแพร่คำเตือน GHSA-3h89-rqfj-5674 เมื่อ 31 ตุลาคม 2026 เวลา 22:58:26 UTC ส่วนระเบียน CVE-2026-120463 เผยแพร่ครั้งแรกเมื่อ 2 พฤศจิกายน 2026 เวลา 13:08:06 UTC วันออกแพตช์ วันเปิดเผยต่อสาธารณะ และวันเผยแพร่ระเบียน CVE จึงอยู่ภายใน 48 ชั่วโมงก่อนรอบตรวจข่าวนี้ การเพิ่งได้เลข CVE ไม่ใช่เหตุผลเพียงอย่างเดียวในการนำเรื่องมาลงข่าว; กรณีนี้ยังมีวันเผยแพร่รุ่นแก้ไขและคำเตือนโครงการที่ตรวจสอบได้ด้วย

วิธีรับมือ

ผู้ดูแลที่ใช้ Warracker กับ Paperless-ngx ควรตรวจเวอร์ชันที่ติดตั้งจริงและอัปเดตเป็น 1.0.4 หรือใหม่กว่า จากแหล่งของโครงการ ก่อนอัปเดตให้สำรองฐานข้อมูลและพื้นที่เก็บไฟล์ แล้วทำตามขั้นตอน upgrade ของ deployment ที่ใช้งาน Release notes ระบุว่า migration ที่เกี่ยวกับ ownership ของเอกสาร Paperless-ngx จะทำงานเมื่อเริ่มระบบหลังอัปเดต ควรตรวจผล migration และทดสอบการค้นหา การเชื่อม และการเปิดเอกสารด้วยบัญชีผู้ใช้ทั่วไปและบัญชีผู้ดูแล

รุ่นแก้ไขเพิ่มการติดตามเจ้าของเอกสาร Paperless-ngx กรองผลค้นหาตามผู้ใช้ ปฏิเสธการเชื่อมเอกสารของผู้อื่นในหลายจุด รวมถึงการสร้างหรือแก้รายการประกันและเอกสารประกอบ claim และตรวจสิทธิ์ก่อนดาวน์โหลดตามกฎ ownership กับ Global View นอกจากนี้ endpoint สำหรับ debug Paperless ถูกจำกัดให้ผู้ดูแลใช้ ผู้ดูแลควรตรวจรายการประกันที่มีเอกสาร other ซึ่งเพิ่งถูกเชื่อมก่อนอัปเดตและทบทวน access log หากมีเหตุให้สงสัยว่ามีการใช้เส้นทางนี้ เนื่องจากการลงแพตช์ไม่ใช่หลักฐานว่าเอกสารที่เคยถูกเปิดก่อนหน้านั้นไม่รั่วไหล

แหล่งต้นทาง: คำเตือน Warracker GHSA-3h89-rqfj-5674, release Warracker 1.0.4, ระเบียน CVE-2026-120463, README โครงการและโลโก้