CVE-2026-108582
Vulnérabilité moyenne dans GenOffice (genspark-ai)
CVSS 6.8 · Moyenne
EPSS 0.1%
genspark-ai•GenOffice•Versions : <=0.11.505, 0
Description
GenOffice through 0.11.505 contains an incorrect permissions vulnerability in its HTTP MCP server file store that allows local unprivileged users to read uploaded and generated documents. Attackers can list the world-readable genoffice-mcp-http directory under the system temporary directory to read client uploads and converted outputs, bypassing the HTTP bearer token.
Gravité et risque d'exploitation
CVE-2026-108582 obtient un score CVSS de 6.8/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.11 %, ce qui la place devant 1.2 % des CVE référencées.
Que faire ?
- Vérifiez si GenOffice (versions <=0.11.505, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://hackmd.io/@haind/genoffice-http-mcp-temp-file-disclosure
- https://github.com/genspark-ai/genoffice/blob/v0.11.505/packages/cli/src/mcp/files.ts#L70-L90
- https://github.com/genspark-ai/genoffice/releases/tag/v0.11.505
- https://www.vulncheck.com/advisories/genoffice-through-0.11.505-insecure-permissions-in-http-mcp-server-file-store