CVE-2026-61709
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W OpenFGA przed wersją 1.18.1 API ListUsers mogło zwrócić użytkownika, który powinien zostać wykluczony, gdy relacja autoryzacji używała przecięcia zawierającego operand bazowy, ale nie wykluczony, a dostęp był przyznany przez publiczny wildcard powiązany z typem. Aplikacje używające ListUsers do egzekwowania dostępu mogły błędnie uznać wykluczonego użytkownika za autoryzowanego.
Ocena ryzyka
Użytkownik, który powinien być pozbawiony dostępu, może zostać uznany za uprawnionego, co prowadzi do nieautoryzowanego dostępu do chronionych zasobów.
Rekomendacja
Zaktualizuj OpenFGA do wersji 1.18.1 lub nowszej, która naprawia ten problem.
Inne podatności w OpenFGA
Zobacz wszystkie- CVE-2026-55689Średnie
Podatność w OpenFGA przed wersją 1.18.0 powoduje pominięcie walidacji odbiorcy (audience) tokena JWT w przypadku, gdy uwierzytelnianie OIDC jest skonfigurowane bez ustawienia parametru authn.oidc.audience. Token wystawiony dla innej, niepowiązanej usługi przez tego samego dostawcę tożsamości może zostać użyty do uwierzytelnienia w OpenFGA.
- CVE-2026-55170Średnie
W OpenFGA przed wersją 1.18.0, przy użyciu MySQL jako magazynu danych, kolumny identyfikatorów krotek, dziennika zmian i modelu autoryzacji porównują wartości rozróżniane wielkością liter (np. user:Alice i user:alice) jako równoważne, co powoduje, że dwa różne żądania sprawdzenia zwracają tę samą odpowiedź.
- CVE-2026-48096Średnie
OpenFGA, silnik autoryzacji, przed wersją 1.16.0, miał problem z pamięcią podręczną iteratorów, gdzie dwa różne żądania sprawdzające mogły generować ten sam klucz pamięci podręcznej. To prowadziło do ponownego użycia wcześniejszego wyniku z pamięci podręcznej dla kolejnego żądania.
- CVE-2026-40293Średnie
W OpenFGA w wersjach od 0.1.4 do 1.13.1, gdy skonfigurowano uwierzytelnianie za pomocą klucza wstępnie współdzielonego (preshared-key) i włączono wbudowany playground, lokalny serwer dołącza klucz API do odpowiedzi HTML endpointu /playground. Endpoint ten jest domyślnie włączony i nie wymaga uwierzytelnienia, co może prowadzić do wycieku wrażliwych danych.
- CVE-2026-34972Średnie
OpenFGA, silnik autoryzacji/permission engine, zawiera lukę w wywołaniach BatchCheck. W określonych warunkach, gdy wiele sprawdzeń dotyczy tego samego obiektu, relacji i użytkownika, może dojść do nieprawidłowego egzekwowania polityk. Luka występuje w wersjach od 1.8.0 do 1.13.1.
- CVE-2023-35933Średnie
OpenFGA w wersjach v1.1.0 i wcześniejszych jest podatny na atak DoS, gdy wywoływane są funkcje Check i ListObjects w modelach autoryzacji z definicjami relacji cyklicznych. Użytkownicy korzystający z tych wersji są narażeni na problemy, jeśli wykonują te wywołania na podatnych modelach.
Oryginalny opis (angielski, źródło NVD)
OpenFGA is an authorization and permission engine built for developers. Prior to 1.18.1, the ListUsers API could return a user that should have been excluded when an authorization relation used an intersection containing a base but not excluded operand, the base was granted through a type-bound public wildcard, and the excluded user also had a concrete tuple through another intersection operand. In pkg/server/commands/listusers/list_users_rpc.go, expandIntersection counted the concrete tuple and wildcard without first rejecting entries in excludedUsersMap. Applications that used ListUsers to enumerate or enforce access could therefore treat an excluded user as authorized. This issue is fixed in version 1.18.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS