CVE-2026-75517
ŚrednieCVSS 6.5Streszczenie
Novu przed wersją 3.18.0 przypadki użycia mutacji integracji, w tym remove-integration, update-integration, auto-configure-integration i set-integration-as-primary, wyszukują integrację po integrationId i organizationId bez konsekwentnego wymuszania environmentId. Wywołujący z dostępem do jednego środowiska w organizacji może wskazać identyfikator integracji z innego środowiska i usunąć integrację, zmodyfikować jej poświadczenia, zmienić głównego dostawcę lub wyzwolić automatyczną konfigurację. Biuletyn bezpieczeństwa definiuje zarówno klucze API środowiska, jak i sesje pulpitu jako dotknięte. Zmiana w 3.18.0 wymusza granicę środowiska tylko dla uwierzytelniania kluczem API o zasięgu środowiska, podczas gdy testy celowo zachowują zachowanie sesji pulpitu między środowiskami, więc nie usuwa całkowicie zakresu zdefiniowanego w biuletynie. Wersja 3.18.0 jest częściową próbą naprawy, a zachowanie sesji pulpitu wymaga rozstrzygnięcia przez kuratora.
Ocena ryzyka
Użytkownik z dostępem do jednego środowiska może modyfikować lub usuwać integracje w innych środowiskach, co może prowadzić do przerwania usług, wycieku poświadczeń lub nieautoryzowanych zmian konfiguracji. Ryzyko jest wysokie w środowiskach wielodostępnych.
Rekomendacja
Zaktualizuj Novu do wersji 3.18.0 lub nowszej, ale pamiętaj, że poprawka jest częściowa. Ogranicz dostęp do sesji pulpitu i kluczy API oraz monitoruj nietypowe operacje na integracjach między środowiskami.
Inne podatności w Novu
Zobacz wszystkie- CVE-2026-75511Średnie
Novu przed wersją 3.18.0 nie waliduje adresów URL webhooków czatu pochodzących z różnych źródeł, przekazując je do surowych żądań HTTP. Uwierzytelniony użytkownik może wysyłać żądania POST do wewnętrznych usług sieciowych, co może prowadzić do nieautoryzowanych akcji.
- CVE-2026-75510Średnie
Novu przed wersją 3.18.0 akceptuje adresy URL przekierowań z powiadomień bez walidacji schematu, umożliwiając użycie schematu javascript: w atrybucie redirect. Gdy odbiorca kliknie powiadomienie, kod JavaScript może wykonać się w kontekście aplikacji, potencjalnie ujawniając dane sesji.
Oryginalny opis (angielski, źródło NVD)
Novu provides an API for sending notifications through multiple channels. Prior to 3.18.0, Novu integration mutation use cases including remove-integration, update-integration, auto-configure-integration, and set-integration-as-primary look up an integration by integrationId and organizationId without consistently enforcing environmentId. A caller with access to one environment in an organization can target an integration identifier from another environment and delete the integration, modify its credentials, change the primary provider, or trigger auto-configuration. The repository advisory defines both environment API keys and dashboard sessions as affected. The 3.18.0 change enforces the environment boundary only for environment-scoped API-key authentication, while its tests intentionally retain cross-environment dashboard-session behavior, so it does not completely remediate the advisory-defined scope. Version 3.18.0 is a partial fix attempt, and the dashboard-session behavior requires curator resolution.