ProjectSend r1605 には、安全でない直接オブジェクト参照（IDOR）の脆弱性が存在しています。この脆弱性により、認証されていない攻撃者がダウンロードIDパラメータを操作することで、プライベートファイルをダウンロードできてしまいます。攻撃者は、ダウンロードリクエスト時の process.php 内の 'id' パラメータを変更することで、任意のユーザーのプライベートファイルへアクセスできます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。