CVE-2025-65111
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
SpiceDB to open source'owy system bazodanowy do tworzenia i zarządzania uprawnieniami aplikacji o krytycznym znaczeniu dla bezpieczeństwa. W wersjach przed 1.47.1, jeśli schemat zawiera określone cechy (uprawnienie zdefiniowane jako suma (+) odwołująca się do tej samej relacji po obu stronach, ale jedna strona wskazuje na inne uprawnienie), SpiceDB może zwracać niekompletne wyniki LookupResources. Problem dotyczy tylko LookupResources; inne API obliczają uprawnienia poprawnie. Naprawiono w wersji 1.47.1.
Ocena ryzyka
Niekompletne wyniki LookupResources mogą prowadzić do błędnych decyzji autoryzacyjnych, potencjalnie umożliwiając nieautoryzowany dostęp do zasobów. Może to naruszyć integralność systemu uprawnień.
Rekomendacja
Zaktualizuj SpiceDB do wersji 1.47.1 lub nowszej, która naprawia tę podatność. Jeśli aktualizacja nie jest możliwa, przejrzyj schematy pod kątem wspomnianych cech i rozważ tymczasowe obejścia.
Inne podatności w SpiceDB
Zobacz wszystkie- CVE-2026-55866Niskie
SpiceDB od wersji 1.34.0 do 1.54.0 może zwracać PERMISSIONSHIP_HAS_PERMISSION zamiast PERMISSIONSHIP_CONDITIONAL_PERMISSION lub PERMISSIONSHIP_NO_PERMISSION, ponieważ checkRequestToKey() i checkRequestToKeyWithCanonical() w internal/dispatch/keys/computed.go pomijają CheckHints przy budowaniu kluczy pamięci podręcznej. Wynik obliczony dla jednego zestawu wskazówek może zatruć wpis pamięci podręcznej używany przez semantycznie inny test autoryzacji.
- CVE-2026-46668Niskie
W SpiceDB od wersji 1.15.0 do przed 1.52.0 wykryto podatność, w której struktury caveat z zagnieżdżonymi listami mogą prowadzić do nieprawidłowego ponownego użycia pamięci podręcznej (cache). Poprawiono w wersji 1.52.0.
- CVE-2023-35930Niskie
SpiceDB, system baz danych inspirowany Google Zanzibar, ma problem z negatywnymi decyzjami autoryzacyjnymi przy użyciu zapytania `LookupResources` w wersji 1.22.0. Użytkownicy mogą nieprawidłowo uzyskać dostęp do zasobów, które powinny być zablokowane.
Oryginalny opis (angielski, źródło NVD)
SpiceDB is an open source database system for creating and managing security-critical application permissions. Prior to version 1.47.1, if a schema includes the following characteristics: permission defined in terms of a union (+) and that union references the same relation on both sides (but one side arrows to a different permission). Then SpiceDB may have missing LookupResources results when checking the permission. This only affects LookupResources; other APIs calculate permissionship correctly. The issue is fixed in version 1.47.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS