CVE-2026-111666

ŚrednieCVSS 4.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

Steedos Platform do wersji 3.0.15-beta.51 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać definicje raportów innych najemców poprzez odpytywanie obiektu reports. Ponieważ callAdapter w objectql pomija filtrowanie przestrzeni dla obiektów enable_space_global przy find/findOne, atakujący może wywołać GET /api/v1/reports, aby ujawnić nazwy raportów, opisy oraz nazwy API obiektów i pól.

Ocena ryzyka

Ujawnienie definicji raportów innych najemców narusza izolację dzierżaw i może prowadzić do wycieku informacji o strukturze danych. Może to ułatwić dalsze ataki i naruszyć zaufanie klientów.

Rekomendacja

Zaktualizuj Steedos Platform do wersji nowszej niż 3.0.15-beta.51, gdy będzie dostępna. Do czasu aktualizacji zweryfikuj filtrowanie przestrzeni dla obiektów enable_space_global w objectql.

Inne podatności w Steedos Platform

CVE-2026-91922Średnie
Steedos Platform do wersji 3.0.15-beta.47 zawiera podatność na odbite XSS w anonimowym punkcie końcowym /api/page/render, który nieprawidłowo escapuje parametry zapytania w elementach skryptu inline. Atakujący mogą tworzyć złośliwe linki z sekwencjami kończącymi skrypt w parametrach schemaApi lub data, aby wykonać dowolny JavaScript w sesjach ofiar i ukraść poświadczenia X-Auth-Token.

Oryginalny opis (angielski, źródło NVD)

Steedos Platform through 3.0.15-beta.51 contains an authorization bypass vulnerability that allows authenticated users to read other tenants' report definitions by querying the reports object. Because objectql's callAdapter skips space filtering for enable_space_global objects on find/findOne, attackers can call GET /api/v1/reports to disclose report names, descriptions, and object and field API names.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS