CVE-2026-47697

WysokieCVSS 7.1

Opublikowano: 21/07/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Shelf przed wersją 1.20.2 ma podatność IDOR (Insecure Direct Object Reference) umożliwiającą uwierzytelnionemu użytkownikowi z organizacji A dostęp do danych organizacji B poprzez manipulację identyfikatorem encji. Ponadto możliwe jest ominięcie ograniczeń rezerwacji poprzez spreparowane żądanie POST.

Ocena ryzyka

Atakujący może uzyskać nieautoryzowany dostęp do danych innych organizacji, co prowadzi do naruszenia izolacji danych między dzierżawcami.

Rekomendacja

Zaktualizuj Shelf do wersji 1.20.2 lub nowszej.

Inne podatności w Shelf

CVE-2026-54166Wysokie
W Shelf uwierzytelnieni użytkownicy z uprawnieniem asset:import mogą wywoływać po stronie serwera żądania HTTP do adresów kontrolowanych przez atakującego poprzez funkcję importu zawartości CSV. Logikę walidacji imageUrl można obejść m.in. przez rozszerzenia obrazów, słowa kluczowe ścieżek, dopasowanie podciągów domeny i łańcuchy przekierowań, co prowadzi do podatności SSRF. Dodatkowo treści odpowiedzi są buforowane w całości przed sprawdzeniem rozmiaru, co stwarza wektor wyczerpania pamięci.

Oryginalny opis (angielski, źródło NVD)

Shelf is a platform for tracking physical assets. Shelf is multi-tenant; data is isolated per organization (workspace). Prior to version 1.20.2, several endpoints accepted entity IDs from request input and `connect`-ed / read / updated them without verifying the IDs belonged to the caller's organization. An authenticated user in Org A who knew or obtained an ID belonging to Org B could act on Org B's data across organization boundaries (a cross-tenant IDOR). A loader-only restriction on personal-workspace bookings was also bypassable via a crafted POST. Version 1.20.2 patches the issue. No known workarounds are available.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS