CVE-2023-35933
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
OpenFGA w wersjach v1.1.0 i wcześniejszych jest podatny na atak DoS, gdy wywoływane są funkcje Check i ListObjects w modelach autoryzacji z definicjami relacji cyklicznych. Użytkownicy korzystający z tych wersji są narażeni na problemy, jeśli wykonują te wywołania na podatnych modelach.
Ocena ryzyka
Atak DoS może prowadzić do niedostępności usług autoryzacji, co wpływa na funkcjonowanie aplikacji i może prowadzić do poważnych zakłóceń w organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.1.1 OpenFGA, aby usunąć tę podatność. Użytkownicy, którzy nie mają cyklicznych relacji w swoich modelach, nie są narażeni.
Inne podatności w OpenFGA
Zobacz wszystkie- CVE-2026-61709Średnie
W OpenFGA przed wersją 1.18.1 API ListUsers mogło zwrócić użytkownika, który powinien zostać wykluczony, gdy relacja autoryzacji używała przecięcia zawierającego operand bazowy, ale nie wykluczony, a dostęp był przyznany przez publiczny wildcard powiązany z typem. Aplikacje używające ListUsers do egzekwowania dostępu mogły błędnie uznać wykluczonego użytkownika za autoryzowanego.
- CVE-2026-55689Średnie
Podatność w OpenFGA przed wersją 1.18.0 powoduje pominięcie walidacji odbiorcy (audience) tokena JWT w przypadku, gdy uwierzytelnianie OIDC jest skonfigurowane bez ustawienia parametru authn.oidc.audience. Token wystawiony dla innej, niepowiązanej usługi przez tego samego dostawcę tożsamości może zostać użyty do uwierzytelnienia w OpenFGA.
- CVE-2026-55170Średnie
W OpenFGA przed wersją 1.18.0, przy użyciu MySQL jako magazynu danych, kolumny identyfikatorów krotek, dziennika zmian i modelu autoryzacji porównują wartości rozróżniane wielkością liter (np. user:Alice i user:alice) jako równoważne, co powoduje, że dwa różne żądania sprawdzenia zwracają tę samą odpowiedź.
- CVE-2026-48096Średnie
OpenFGA, silnik autoryzacji, przed wersją 1.16.0, miał problem z pamięcią podręczną iteratorów, gdzie dwa różne żądania sprawdzające mogły generować ten sam klucz pamięci podręcznej. To prowadziło do ponownego użycia wcześniejszego wyniku z pamięci podręcznej dla kolejnego żądania.
- CVE-2026-40293Średnie
W OpenFGA w wersjach od 0.1.4 do 1.13.1, gdy skonfigurowano uwierzytelnianie za pomocą klucza wstępnie współdzielonego (preshared-key) i włączono wbudowany playground, lokalny serwer dołącza klucz API do odpowiedzi HTML endpointu /playground. Endpoint ten jest domyślnie włączony i nie wymaga uwierzytelnienia, co może prowadzić do wycieku wrażliwych danych.
- CVE-2026-34972Średnie
OpenFGA, silnik autoryzacji/permission engine, zawiera lukę w wywołaniach BatchCheck. W określonych warunkach, gdy wiele sprawdzeń dotyczy tego samego obiektu, relacji i użytkownika, może dojść do nieprawidłowego egzekwowania polityk. Luka występuje w wersjach od 1.8.0 do 1.13.1.
Oryginalny opis (angielski, źródło NVD)
OPenFGA is an open source authorization/permission engine built for developers. OpenFGA versions v1.1.0 and prior are vulnerable to a DoS attack when Check and ListObjects calls are executed against authorization models that contain circular relationship definitions. Users are affected by this vulnerability if they are using OpenFGA v1.1.0 or earlier, and if you are executing `Check` or `ListObjects` calls against a vulnerable authorization model. Users are advised to upgrade to version 1.1.1. There are no known workarounds for this vulnerability. Users that do not have circular relationships in their models are not affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS