CVE-2026-34972

W OpenFGA przed wersją 1.18.1 API ListUsers mogło zwrócić użytkownika, który powinien zostać wykluczony, gdy relacja autoryzacji używała przecięcia zawierającego operand bazowy, ale nie wykluczony, a dostęp był przyznany przez publiczny wildcard powiązany z typem. Aplikacje używające ListUsers do egzekwowania dostępu mogły błędnie uznać wykluczonego użytkownika za autoryzowanego.

Podatność w OpenFGA przed wersją 1.18.0 powoduje pominięcie walidacji odbiorcy (audience) tokena JWT w przypadku, gdy uwierzytelnianie OIDC jest skonfigurowane bez ustawienia parametru authn.oidc.audience. Token wystawiony dla innej, niepowiązanej usługi przez tego samego dostawcę tożsamości może zostać użyty do uwierzytelnienia w OpenFGA.

W OpenFGA przed wersją 1.18.0, przy użyciu MySQL jako magazynu danych, kolumny identyfikatorów krotek, dziennika zmian i modelu autoryzacji porównują wartości rozróżniane wielkością liter (np. user:Alice i user:alice) jako równoważne, co powoduje, że dwa różne żądania sprawdzenia zwracają tę samą odpowiedź.

OpenFGA, silnik autoryzacji, przed wersją 1.16.0, miał problem z pamięcią podręczną iteratorów, gdzie dwa różne żądania sprawdzające mogły generować ten sam klucz pamięci podręcznej. To prowadziło do ponownego użycia wcześniejszego wyniku z pamięci podręcznej dla kolejnego żądania.

W OpenFGA w wersjach od 0.1.4 do 1.13.1, gdy skonfigurowano uwierzytelnianie za pomocą klucza wstępnie współdzielonego (preshared-key) i włączono wbudowany playground, lokalny serwer dołącza klucz API do odpowiedzi HTML endpointu /playground. Endpoint ten jest domyślnie włączony i nie wymaga uwierzytelnienia, co może prowadzić do wycieku wrażliwych danych.

OpenFGA w wersjach v1.1.0 i wcześniejszych jest podatny na atak DoS, gdy wywoływane są funkcje Check i ListObjects w modelach autoryzacji z definicjami relacji cyklicznych. Użytkownicy korzystający z tych wersji są narażeni na problemy, jeśli wykonują te wywołania na podatnych modelach.