CVE-2026-72564
KrytyczneCVSS 9.6Streszczenie
Podatność nieprawidłowej autoryzacji w fosrl/pangolin do wersji v1.20.0 pozwala uwierzytelnionemu zdalnemu atakującemu na uwierzytelnienie do dowolnego zasobu w dowolnej organizacji poprzez ponowne użycie tokenu dostępu wydanego dla innego zasobu. Obsługa w server/routers/resource/authWithAccessToken.ts wywołuje verifyResourceAccessToken() bez przekazywania docelowego resourceId, więc ważny token dla zasobu X w organizacji A przechodzi weryfikację dla zasobu Y w organizacji B.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do zasobów w różnych organizacjach, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj fosrl/pangolin do najnowszej wersji, która zawiera poprawkę. Dodatkowo zweryfikuj logi dostępu pod kątem nietypowych prób uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
An improper authorization vulnerability in fosrl/pangolin through v1.20.0 allows an authenticated remote attacker to authenticate to any resource in any organization by reusing an access token issued for a different resource. The server/routers/resource/authWithAccessToken.ts handler calls verifyResourceAccessToken() without passing the target resourceId, so a valid token scoped to resource X in organization A passes verification for resource Y in organization B.