CVE-2026-40293
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W OpenFGA w wersjach od 0.1.4 do 1.13.1, gdy skonfigurowano uwierzytelnianie za pomocą klucza wstępnie współdzielonego (preshared-key) i włączono wbudowany playground, lokalny serwer dołącza klucz API do odpowiedzi HTML endpointu /playground. Endpoint ten jest domyślnie włączony i nie wymaga uwierzytelnienia, co może prowadzić do wycieku wrażliwych danych.
Ocena ryzyka
Organizacja naraża się na wyciek klucza API, co może umożliwić nieautoryzowany dostęp do systemu autoryzacji OpenFGA, jeśli endpoint playground jest dostępny spoza localhost lub zaufanych sieci.
Rekomendacja
Należy natychmiast zaktualizować OpenFGA do wersji 1.14.0 lub wyłączyć playground poprzez uruchomienie z flagą --playground-enabled=false.
Inne podatności w OpenFGA
Zobacz wszystkie- CVE-2026-61709Średnie
W OpenFGA przed wersją 1.18.1 API ListUsers mogło zwrócić użytkownika, który powinien zostać wykluczony, gdy relacja autoryzacji używała przecięcia zawierającego operand bazowy, ale nie wykluczony, a dostęp był przyznany przez publiczny wildcard powiązany z typem. Aplikacje używające ListUsers do egzekwowania dostępu mogły błędnie uznać wykluczonego użytkownika za autoryzowanego.
- CVE-2026-55689Średnie
Podatność w OpenFGA przed wersją 1.18.0 powoduje pominięcie walidacji odbiorcy (audience) tokena JWT w przypadku, gdy uwierzytelnianie OIDC jest skonfigurowane bez ustawienia parametru authn.oidc.audience. Token wystawiony dla innej, niepowiązanej usługi przez tego samego dostawcę tożsamości może zostać użyty do uwierzytelnienia w OpenFGA.
- CVE-2026-55170Średnie
W OpenFGA przed wersją 1.18.0, przy użyciu MySQL jako magazynu danych, kolumny identyfikatorów krotek, dziennika zmian i modelu autoryzacji porównują wartości rozróżniane wielkością liter (np. user:Alice i user:alice) jako równoważne, co powoduje, że dwa różne żądania sprawdzenia zwracają tę samą odpowiedź.
- CVE-2026-48096Średnie
OpenFGA, silnik autoryzacji, przed wersją 1.16.0, miał problem z pamięcią podręczną iteratorów, gdzie dwa różne żądania sprawdzające mogły generować ten sam klucz pamięci podręcznej. To prowadziło do ponownego użycia wcześniejszego wyniku z pamięci podręcznej dla kolejnego żądania.
- CVE-2026-34972Średnie
OpenFGA, silnik autoryzacji/permission engine, zawiera lukę w wywołaniach BatchCheck. W określonych warunkach, gdy wiele sprawdzeń dotyczy tego samego obiektu, relacji i użytkownika, może dojść do nieprawidłowego egzekwowania polityk. Luka występuje w wersjach od 1.8.0 do 1.13.1.
- CVE-2023-35933Średnie
OpenFGA w wersjach v1.1.0 i wcześniejszych jest podatny na atak DoS, gdy wywoływane są funkcje Check i ListObjects w modelach autoryzacji z definicjami relacji cyklicznych. Użytkownicy korzystający z tych wersji są narażeni na problemy, jeśli wykonują te wywołania na podatnych modelach.
Oryginalny opis (angielski, źródło NVD)
OpenFGA is an authorization/permission engine built for developers. In versions 0.1.4 through 1.13.1, when OpenFGA is configured to use preshared-key authentication with the built-in playground enabled, the local server includes the preshared API key in the HTML response of the /playground endpoint. The /playground endpoint is enabled by default and does not require authentication. It is intended for local development and debugging and is not designed to be exposed to production environments. Only those who run OpenFGA with `--authn-method` preshared, with the playground enabled, and with the playground endpoint accessible beyond localhost or trusted networks are vulnerable. To remediate the issue, users should upgrade to OpenFGA v1.14.0, or disable the playground by running `./openfga run --playground-enabled=false.`
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS