در نسخه‌های GenOffice تا ورژن 0.11.505، یک آسیب‌پذیری مربوط به پیکربندی نادرست مجوزهای دسترسی (Incorrect Permissions) در بخش ذخیره‌سازی فایل‌های سرور HTTP MCP شناسایی شده است.
جزئیات فنی و نحوه بهره‌برداری
این نقص امنیتی به کاربران محلی که فاقد دسترسی‌های مدیریتی هستند (Unprivileged Users)، اجازه می‌دهد تا اسنادی را که توسط سایر کاربران آپلود یا تولید شده‌اند، مطالعه کنند. مهاجمان می‌توانند با بررسی دایرکتوری genoffice-mcp-http که در مسیر دایرکتوری موقت سیستم (System Temporary Directory) قرار دارد، به داده‌ها دسترسی یابند.
از آنجایی که این دایرکتوری به صورت World-readable (قابل خواندن برای همه) پیکربندی شده است، مهاجم می‌تواند بدون نیاز به احراز هویت، فایل‌های آپلود شده و خروجی‌های تبدیل شده را مشاهده کند. این فرآیند منجر به دور زدن (Bypass) مکانیسم امنیتی HTTP bearer token می‌شود.
