CVE-2026-23696

Windmill to open-source'owa platforma deweloperska dla wewnętrznego kodu: API, zadań w tle, przepływów pracy i interfejsów użytkownika. Przed wersją 1.715.0 token API z ograniczeniem do zasobu mógł odczytać zawartość skryptów poza dozwolonym zakresem ścieżki przez GET /api/w/{workspace}/scripts/list_search. Oprogramowanie pośredniczące na poziomie trasy walidowało domenę tokena i akcję, ale nie egzekwowało segmentu zasobu/ścieżki, a procedura obsługi list_search_scripts nie miała dodatkowego wywołania check_scopes ani filtrowania wierszy przed zwróceniem pól ścieżki i zawartości skryptu. Token taki jak scripts:read:f/allowed/* mógł zatem otrzymać kod źródłowy dla niepowiązanych ścieżek w tym samym obszarze roboczym, potencjalnie ujawniając wewnętrzną logikę automatyzacji, szczegóły integracji, logikę biznesową, konfigurację wbudowaną lub zakodowane na stałe sekrety i poświadczenia. Wykorzystanie wymagało posiadania ważnego tokena API z ograniczeniem dla obszaru roboczego, ale nie wymagało uprawnień administratora. Problem został naprawiony w wersji 1.715.0.

Podatność na brak autoryzacji w Windmill Labs Windmill do wersji 1.783.0 pozwala uwierzytelnionym operatorom na zapisywanie postępu zadań i odczytywanie metryk zadań dla dowolnego zadania w przestrzeni roboczej, niezależnie od własności. Handlery job_metrics nie akceptują ekstraktora autoryzacji, omijając kontrolę dostępu na poziomie przestrzeni roboczej. Operator może monitorować wrażliwe dane wykonania zadań i wstrzykiwać mylący postęp dla zadań, których nie posiada.

Podatność na brak autoryzacji w Windmill Labs Windmill do wersji 1.783.0 pozwala każdemu uwierzytelnionemu członkowi przestrzeni roboczej na nadpisanie dowolnego schematu typu zasobu przez endpoint update_resource_type. Endpoint pomija sprawdzenie uprawnień administratora, które jest egzekwowane w odpowiadającym endpointcie delete_resource_type. Atakujący z uprawnieniami członka może uszkodzić definicje typów zasobów, co może zepsuć przepływy pracy zależne od nich.

Podatność na ujawnienie informacji w Windmill Labs Windmill do wersji 1.783.0 pozwala każdemu uwierzytelnionemu członkowi przestrzeni roboczej na odczytanie starych skryptów roboczych bez właściciela, które zawierają poświadczenia zasobów w postaci zwykłego tekstu. Skrypty z pustym adresem e-mail właściciela omijają kontrolę dostępu i są zwracane każdemu członkowi, który zapyta o endpoint skryptów. Wrażliwe poświadczenia przechowywane w tych skryptach są ujawniane ponad granicami kontroli dostępu.

Windmill przed wersją 1.703.2 ma nieprawidłowe domyślne uprawnienia w plikach konfiguracyjnych sandboksów nsjail, gdzie katalog /etc jest montowany bez ograniczeń odczytu i zapisu. Umożliwia to uwierzytelnionym użytkownikom zapisywanie dowolnych wpisów do plików /etc/hosts, /etc/resolv.conf oraz /etc/ssl/certs/ca-certificates.crt z wnętrza sandboksów wykonawczych skryptów.