CVE-2026-15630
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Administrator organizacji niebędącej globalną w jednej dzierżawie może przekroczyć granice dzierżawy, aby usuwać, tworzyć lub modyfikować zasoby w dowolnej innej dzierżawie, wykorzystując niezgodność między autoryzacją (opartą na ?id=) a działaniem (opartym na treści żądania).
Ocena ryzyka
Naruszenie izolacji między dzierżawami może prowadzić do nieautoryzowanego dostępu do danych i zasobów innych organizacji, co stanowi poważne ryzyko dla poufności i integralności danych.
Rekomendacja
Należy skontaktować się z dostawcą oprogramowania w celu uzyskania poprawki lub zastosować obejście polegające na wzmocnieniu walidacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
A non-global organization admin in one tenant can bypass tenant boundaries to delete, create, or modify resources in any other tenant by exploiting a mismatch between authorization (based on ?id=) and action (based on request body).