CVE-2026-18652
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Velociraptor umożliwia odczyt zestawów wyników Stacked z GUI. Ze względu na nieprawidłowe sprawdzanie ścieżki względem listy zabronionych prefiksów, użytkownik z dostępem do głównej organizacji może uzyskać dostęp do zestawów wyników z organizacji podrzędnych.
Ocena ryzyka
Naruszenie izolacji między organizacjami w środowisku multi-tenant może prowadzić do wycieku danych z organizacji podrzędnych.
Rekomendacja
Zaktualizuj Velociraptor do wersji z poprawką walidacji ścieżek i przejrzyj kontrolę dostępu w środowiskach multi-tenant.
Oryginalny opis (angielski, źródło NVD)
Velociraptor allows reading Stacked result sets from the GUI. Velociraptor's multi-tenant design stores sub orgs within the datastore directory. The path requested by the GUI is not correctly checked against the prefix deny list, allowing result sets to read from denied prefixes. In particular, a user with read access to the root org can access result sets from child orgs.