src/Module/ProjectManagement/Infrastructure/ApiPlatform/State/TaskDocumentProcessor.php

@@ -94,6 +94,14 @@ final readonly class TaskDocumentProcessor implements ProcessorInterface
         // Deux modes de création : upload d'un fichier (multipart) ou lien vers un fichier du partage SMB (JSON).
         $sharePath = $this->extractSharePath($request);
 
+        // Sécurité : un utilisateur client ne peut PAS créer de lien vers le
+        // partage SMB interne (référence de fichier arbitraire hors de son
+        // périmètre) — seul le téléversement lui est permis. Le lien partage
+        // reste réservé aux administrateurs.
+        if (null !== $sharePath && !$this->security->isGranted('ROLE_ADMIN')) {
+            throw new AccessDeniedHttpException('Les utilisateurs clients ne peuvent pas créer de lien vers le partage ; un téléversement est requis.');
+        }
+
         $document = null !== $sharePath
             ? $this->createShareLink($request, $sharePath)
             : $this->createUpload($request);