CVE-2026-63399

W narzędziu Coop w wersjach przed 1.0.2 funkcje addAccessibleQueuesForUser i removeAccessibleQueuesForUser przyjmowały dowolne wartości queueId i userId bez ograniczania ich do organizacji. Uwierzytelniony użytkownik należący do jednej organizacji i posiadający uprawnienie do edycji kolejek MRT mógł przyznać lub odebrać użytkownikom innej organizacji dostęp do kolejek ręcznej moderacji. Istniejąca kontrola uprawnień do edycji kolejek nie wiązała podanych identyfikatorów z organizacją wywołującego. Atakujący nie mógł odczytać kolejek ani zadań innej organizacji, więc luka nie ujawniała danych poufnych.

Coop to narzędzie open source do recenzji i moderacji od ROOST. Przed wersją 1.0.2 funkcja `resetPasswordForToken` aktualizuje hasło bez unieważnienia sesji przechowywanych w bazie danych. Atakujący, który pozyskał hasło i ustanowił sesję, zachowuje dostęp nawet po zresetowaniu hasła przez prawowitego użytkownika, aż do wygaśnięcia sesji po maksymalnie 30 dniach.

W Coop przed wersją 1.0.2 callback weryfikacji strategii SAML wyszukiwał uwierzytelnionego użytkownika wyłącznie po adresie e-mail przez kyselyUserFindByEmail, bez powiązania z organizacją w /saml/login/:orgId/callback. Atakujący administrujący organizacją i kontrolujący klucz podpisujący jej IdP może przesłać asercję dla e-maila ofiary do callbacku innej organizacji, jeśli docelowa organizacja zarejestrowała ten sam certyfikat podpisujący.

W Coop przed wersją 1.0.0 nieuwierzytelniony podmiot może odpytać Query.allOrgs przez /api/v1/graphql na publicznie dostępnym wdrożeniu i uzyskać dane wszystkich organizacji, w tym identyfikatory, nazwy, adresy e-mail, adresy URL stron i adresy e-mail alertów on-call. Pole usersWhoCanReviewEveryQueue ujawnia także identyfikatory, adresy e-mail, imiona i nazwiska, role, uprawnienia i daty utworzenia użytkowników dokonujących przeglądu.