CVE-2026-72541
ŚrednieCVSS 6.5Streszczenie
Podatność na brak autoryzacji w Windmill Labs Windmill do wersji 1.783.0 pozwala każdemu uwierzytelnionemu członkowi przestrzeni roboczej na nadpisanie dowolnego schematu typu zasobu przez endpoint update_resource_type. Endpoint pomija sprawdzenie uprawnień administratora, które jest egzekwowane w odpowiadającym endpointcie delete_resource_type. Atakujący z uprawnieniami członka może uszkodzić definicje typów zasobów, co może zepsuć przepływy pracy zależne od nich.
Ocena ryzyka
Uszkodzenie definicji typów zasobów może prowadzić do awarii przepływów pracy i naruszenia integralności systemu.
Rekomendacja
Zaktualizuj Windmill do wersji, która wymaga uprawnień administratora w endpointcie update_resource_type.
Oryginalny opis (angielski, źródło NVD)
A missing authorization vulnerability in Windmill Labs Windmill through 1.783.0 allows any authenticated workspace member to overwrite any resource type schema via the update_resource_type endpoint. The endpoint omits the administrator permission check that the corresponding delete_resource_type endpoint enforces. An attacker with workspace member privileges can corrupt resource type definitions, breaking workflows that depend on them.