CVE-2026-55170
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W OpenFGA przed wersją 1.18.0, przy użyciu MySQL jako magazynu danych, kolumny identyfikatorów krotek, dziennika zmian i modelu autoryzacji porównują wartości rozróżniane wielkością liter (np. user:Alice i user:alice) jako równoważne, co powoduje, że dwa różne żądania sprawdzenia zwracają tę samą odpowiedź.
Ocena ryzyka
Organizacja może błędnie przyznawać lub odmawiać dostępu, gdy nazwy użytkowników różnią się tylko wielkością liter, co prowadzi do naruszenia zasad autoryzacji i potencjalnego wycieku danych.
Rekomendacja
Należy niezwłocznie zaktualizować OpenFGA do wersji 1.18.0 lub nowszej, która zawiera poprawkę usuwającą problem porównywania wartości bez uwzględniania wielkości liter.
Inne podatności w OpenFGA
Zobacz wszystkie- CVE-2026-55689Średnie
Podatność w OpenFGA przed wersją 1.18.0 powoduje pominięcie walidacji odbiorcy (audience) tokena JWT w przypadku, gdy uwierzytelnianie OIDC jest skonfigurowane bez ustawienia parametru authn.oidc.audience. Token wystawiony dla innej, niepowiązanej usługi przez tego samego dostawcę tożsamości może zostać użyty do uwierzytelnienia w OpenFGA.
- CVE-2026-48096Średnie
OpenFGA, silnik autoryzacji, przed wersją 1.16.0, miał problem z pamięcią podręczną iteratorów, gdzie dwa różne żądania sprawdzające mogły generować ten sam klucz pamięci podręcznej. To prowadziło do ponownego użycia wcześniejszego wyniku z pamięci podręcznej dla kolejnego żądania.
- CVE-2026-40293Średnie
W OpenFGA w wersjach od 0.1.4 do 1.13.1, gdy skonfigurowano uwierzytelnianie za pomocą klucza wstępnie współdzielonego (preshared-key) i włączono wbudowany playground, lokalny serwer dołącza klucz API do odpowiedzi HTML endpointu /playground. Endpoint ten jest domyślnie włączony i nie wymaga uwierzytelnienia, co może prowadzić do wycieku wrażliwych danych.
- CVE-2026-34972Średnie
OpenFGA, silnik autoryzacji/permission engine, zawiera lukę w wywołaniach BatchCheck. W określonych warunkach, gdy wiele sprawdzeń dotyczy tego samego obiektu, relacji i użytkownika, może dojść do nieprawidłowego egzekwowania polityk. Luka występuje w wersjach od 1.8.0 do 1.13.1.
- CVE-2023-35933Średnie
OpenFGA w wersjach v1.1.0 i wcześniejszych jest podatny na atak DoS, gdy wywoływane są funkcje Check i ListObjects w modelach autoryzacji z definicjami relacji cyklicznych. Użytkownicy korzystający z tych wersji są narażeni na problemy, jeśli wykonują te wywołania na podatnych modelach.
Oryginalny opis (angielski, źródło NVD)
OpenFGA is an authorization/permission engine built for developers. Prior to 1.18.0, when MySQL is being used as the datastore and authorization decisions rely on case-sensitive user strings, the tuple, changelog, and authorization_model identifier columns can compare case-distinct values such as user:Alice and user:alice as equivalent, causing two distinct check requests to return the same response. This issue is fixed in 1.18.0.