CVE-2026-115329
ŚrednieCVSS 5.9Streszczenie
Lotus do wersji 0.10.2 zawiera podatność typu insecure direct object reference w SubscriptionViewSet.get_object(), która używa querysetu bez ograniczenia do organizacji i bez sprawdzania uprawnień. Uwierzytelnieni użytkownicy lub klucze API z dowolnej organizacji mogą podać subscription_id innej organizacji, aby odczytać, anulować, zaktualizować, zmienić plan lub modyfikować dodatki, zmieniając rozliczenia innego tenanta.
Ocena ryzyka
Atakujący może modyfikować lub anulować subskrypcje innych organizacji, powodując straty finansowe i zakłócenia w świadczeniu usług.
Rekomendacja
Zaktualizuj Lotus powyżej 0.10.2 i dodaj filtrowanie querysetu po organizacji oraz sprawdzanie uprawnień w SubscriptionViewSet.get_object().
Inne podatności w Lotus
Zobacz wszystkie- CVE-2026-115334Średnie
Lotus do wersji 0.10.2 zawiera obejście autoryzacji w ChangeUserOrganizationView.post, które pozwala uwierzytelnionym użytkownikom dołączyć do dowolnej organizacji poprzez podanie jej UUID. Samodzielnie zarejestrowany atakujący znający UUID innej organizacji może wysłać żądanie POST do /app/switch_organization/ i uzyskać dostęp do danych oraz konfiguracji rozliczeń tego tenanta.
- CVE-2026-115333Średnie
Lotus do wersji 0.10.2 zawiera niewłaściwą autoryzację w middleware ingestii zdarzeń w Go, które waliduje klucze API tylko po prefiksie, bez sprawdzania sekretu względem zapisanego hashed_key. Atakujący znający lub posiadający prefiks klucza API może wysyłać zdarzenia użycia do POST /api/track/ jako dana organizacja, zmieniając jej mierzone użycie i rozliczenia.
- CVE-2026-115332Wysokie
Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzyknąć SQL poprzez rejestrowanie spreparowanych subscription_filter_keys omijających walidację opartą wyłącznie na słowach kluczowych. Atakujący mogą tworzyć subskrypcje ze złośliwym kluczem, renderowanym jako niecytowany identyfikator group-by, aby wstrzyknąć SQL do zapytań agregacji użycia w współdzielonej bazie danych wielu dzierżawców.
- CVE-2026-115331Wysokie
Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzykiwać SQL poprzez dostarczanie spreparowanych wartości właściwości metryk rozliczeniowych lub filtrów kategorycznych. Atakujący mogą osadzić SQL w wartościach renderowanych bez escapowania w zapytaniach metryk generowanych przez Jinja, uzyskując dostęp do bazy danych współdzielonej przez wszystkich najemców.
- CVE-2026-115330Wysokie
Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wykonywać dowolny SQL poprzez dołączanie dodatkowych instrukcji do zapytań metryk niestandardowych. Atakujący mogą przesyłać SQL oddzielony średnikami przez POST /app/metrics/, omijając walidację tylko pierwszej instrukcji, aby odczytywać lub modyfikować dane wszystkich najemców.
Oryginalny opis (angielski, źródło NVD)
Lotus through 0.10.2 contains an insecure direct object reference vulnerability in SubscriptionViewSet.get_object() that uses an unscoped queryset without organization filtering or permission checks. Authenticated users or API keys from any organization can supply another organization's subscription_id to read, cancel, update, switch plans, or modify addons, altering another tenant's billing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS