CVE-2026-63398
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W Coop przed wersją 1.0.2 callback weryfikacji strategii SAML wyszukiwał uwierzytelnionego użytkownika wyłącznie po adresie e-mail przez kyselyUserFindByEmail, bez powiązania z organizacją w /saml/login/:orgId/callback. Atakujący administrujący organizacją i kontrolujący klucz podpisujący jej IdP może przesłać asercję dla e-maila ofiary do callbacku innej organizacji, jeśli docelowa organizacja zarejestrowała ten sam certyfikat podpisujący.
Ocena ryzyka
Możliwe jest przejęcie konta ofiary w innej organizacji (cross-tenant account takeover) bez uprawnień w organizacji docelowej, pod warunkiem wystąpienia nietypowej konfiguracji zgodnych certyfikatów.
Rekomendacja
Zaktualizuj Coop do wersji 1.0.2 lub nowszej, która wiąże wyszukiwanie użytkownika z organizacją.
Inne podatności w Coop
Zobacz wszystkie- CVE-2026-63401Średnie
W narzędziu Coop w wersjach przed 1.0.2 funkcje addAccessibleQueuesForUser i removeAccessibleQueuesForUser przyjmowały dowolne wartości queueId i userId bez ograniczania ich do organizacji. Uwierzytelniony użytkownik należący do jednej organizacji i posiadający uprawnienie do edycji kolejek MRT mógł przyznać lub odebrać użytkownikom innej organizacji dostęp do kolejek ręcznej moderacji. Istniejąca kontrola uprawnień do edycji kolejek nie wiązała podanych identyfikatorów z organizacją wywołującego. Atakujący nie mógł odczytać kolejek ani zadań innej organizacji, więc luka nie ujawniała danych poufnych.
- CVE-2026-63400Niskie
Coop to narzędzie open source do recenzji i moderacji od ROOST. Przed wersją 1.0.2 funkcja `resetPasswordForToken` aktualizuje hasło bez unieważnienia sesji przechowywanych w bazie danych. Atakujący, który pozyskał hasło i ustanowił sesję, zachowuje dostęp nawet po zresetowaniu hasła przez prawowitego użytkownika, aż do wygaśnięcia sesji po maksymalnie 30 dniach.
- CVE-2026-63399Średnie
W narzędziu Coop w wersjach przed 1.0.0 operacja GraphQL Mutation.createOrg pozwala nieuwierzytelnionemu podmiotowi tworzyć dowolne organizacje na publicznie dostępnej instancji. Poza zaśmiecaniem logów brak ograniczania szybkości może potencjalnie doprowadzić do wyczerpania bazy danych. Uruchomienie usługi w uwierzytelnionej sieci prywatnej uniemożliwia zewnętrznym podmiotom bezpośrednie odpytywanie API GraphQL.
- CVE-2026-63396Wysokie
W Coop przed wersją 1.0.0 nieuwierzytelniony podmiot może odpytać Query.allOrgs przez /api/v1/graphql na publicznie dostępnym wdrożeniu i uzyskać dane wszystkich organizacji, w tym identyfikatory, nazwy, adresy e-mail, adresy URL stron i adresy e-mail alertów on-call. Pole usersWhoCanReviewEveryQueue ujawnia także identyfikatory, adresy e-mail, imiona i nazwiska, role, uprawnienia i daty utworzenia użytkowników dokonujących przeglądu.
Oryginalny opis (angielski, źródło NVD)
Coop is an open source review and moderation tool from ROOST. Prior to 1.0.2, the SAML strategy's verify callback resolved the authenticated user by email alone using `kyselyUserFindByEmail`, without binding the lookup to the organization in `/saml/login/:orgId/callback`. An attacker who administers an organization and controls its SAML IdP signing key can submit an assertion for a victim email to another organization's callback when that target organization has registered the same signing certificate. The assertion verifies against the target certificate, and the email resolves to the target user, creating a session as that user and allowing full cross-tenant account takeover without privileges in the target organization. Exploitation requires the unusual configuration in which the target certificate matches a signing key controlled by the attacker. This issue is fixed in version 1.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS