CVE-2026-72542
ŚrednieCVSS 5.4Streszczenie
Podatność na brak autoryzacji w Windmill Labs Windmill do wersji 1.783.0 pozwala uwierzytelnionym operatorom na zapisywanie postępu zadań i odczytywanie metryk zadań dla dowolnego zadania w przestrzeni roboczej, niezależnie od własności. Handlery job_metrics nie akceptują ekstraktora autoryzacji, omijając kontrolę dostępu na poziomie przestrzeni roboczej. Operator może monitorować wrażliwe dane wykonania zadań i wstrzykiwać mylący postęp dla zadań, których nie posiada.
Ocena ryzyka
Nieautoryzowany dostęp do danych zadań i manipulacja postępem mogą prowadzić do naruszenia poufności i integralności procesów.
Rekomendacja
Zaktualizuj Windmill do wersji, która egzekwuje autoryzację w handlerach job_metrics.
Oryginalny opis (angielski, źródło NVD)
A missing authorization vulnerability in Windmill Labs Windmill through 1.783.0 allows authenticated operators to write job progress and read job metrics for any job in the workspace regardless of ownership. The job_metrics handlers accept no authorization extractor, bypassing workspace-level access controls. An operator can monitor sensitive job execution data and inject misleading progress for jobs they do not own.