CVE-2026-34972
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
OpenFGA, silnik autoryzacji/permission engine, zawiera lukę w wywołaniach BatchCheck. W określonych warunkach, gdy wiele sprawdzeń dotyczy tego samego obiektu, relacji i użytkownika, może dojść do nieprawidłowego egzekwowania polityk. Luka występuje w wersjach od 1.8.0 do 1.13.1.
Ocena ryzyka
Nieprawidłowe egzekwowanie polityk może prowadzić do nieautoryzowanego dostępu do zasobów lub naruszenia zasad bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację OpenFGA do wersji 1.14.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
OpenFGA is a high-performance and flexible authorization/permission engine built for developers and inspired by Google Zanzibar. From 1.8.0 to 1.13.1, under specific conditions, BatchCheck calls with multiple checks sent for the same object, relation, and user combination can result in improper policy enforcement. This vulnerability is fixed in 1.14.0.