CVE-2026-57510

WysokieCVSS 8.8

Opublikowano: 28/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 29/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

SuperPlane przed wersją 0.27.0 zawiera podatność uszkodzonej autoryzacji na poziomie obiektu w procedurach gRPC CanvasService. Uwierzytelnieni użytkownicy z dostępem na poziomie widza do jednej organizacji mogą uzyskać dostęp do zasobów innych organizacji, podając dowolne identyfikatory UUID canvas lub kolejki bez ograniczeń zakresu organizacji. Atakujący mogą odczytywać historię wykonywania i ładunki zdarzeń zawierające poufne sekrety, zapisywać elementy kolejki i zdarzenia canvas w ofiarach, usuwać dowolne canvasy oraz zakłócać przepływy automatyzacji między dzierżawcami.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowany dostęp do wrażliwych danych innych dzierżawców, manipulację ich zasobami oraz przerwanie krytycznych procesów automatyzacji, co może prowadzić do wycieku danych i zakłóceń operacyjnych.

Rekomendacja

Zaleca się natychmiastową aktualizację SuperPlane do wersji 0.27.0 lub nowszej, która usuwa tę podatność.

Inne podatności w SuperPlane

CVE-2026-57511Średnie
SuperPlane przed wersją 0.30.0 zawiera podatność na wstrzykiwanie nagłówków SMTP, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnych nagłówków SMTP poprzez umieszczenie sekwencji CRLF w polu tytułu zdarzenia payload dostarczonego przez webhook. Atakujący mogą manipulować niesanityzowanym polem tytułu przekazanym do polecenia SMTP DATA, aby dodać odbiorców Bcc w celu eksfiltracji treści, sfałszować adres From w celu ominięcia kontroli SPF i DKIM lub wstrzyknąć nagłówki Content-Type i MIME boundary w celu zniekształcenia treści wiadomości do phishingu.

Oryginalny opis (angielski, źródło NVD)

SuperPlane before 0.27.0 contains a broken object-level authorization vulnerability in the CanvasService gRPC handlers that allows authenticated users with viewer-level access to one organization to access resources belonging to other organizations by supplying arbitrary canvas or queue UUIDs without organization scoping. Attackers can read cross-tenant execution history and event payloads containing sensitive secrets, write queue items and canvas events into victim organizations, delete arbitrary canvases, and disrupt automation workflows across tenant boundaries.