CVE-2023-40579
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
OpenFGA to silnik autoryzacji, który w wersji 1.3.0 i wcześniejszych jest podatny na obejście autoryzacji podczas wywoływania API ListObjects. Problem dotyczy użytkowników korzystających z modeli zawierających wyrażenia typu rel1 z type1.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do zasobów, co może prowadzić do poważnych naruszeń bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację OpenFGA do wersji 1.3.1, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
OpenFGA is an authorization/permission engine built for developers and inspired by Google Zanzibar. Some end users of OpenFGA v1.3.0 or earlier are vulnerable to authorization bypass when calling the ListObjects API. The vulnerability affects customers using `ListObjects` with specific models. The affected models contain expressions of type `rel1 from type1`. This issue has been patched in version 1.3.1.