CVE-2026-76236
WysokieCVSS 7.2Streszczenie
stigmem-node przed wersją 0.9.0a12 zawiera podatność na złamanie autoryzacji na poziomie obiektu (BOLA) w mechanizmie tombstone RTBF (prawo do bycia zapomnianym). issue_tombstone domyślnie ustawiał dzierżawcę na "default" zamiast dzierżawcy wywołującego, co pozwalało na zapis rekordów usunięcia do niewłaściwego dzierżawcy, a ścieżka tłumienia odczytu (_get_tombstone_filter i cache zakresu tombstone) nie zawierała predykatu tenant_id, więc tłumienie tombstone było stosowane bez uwzględnienia dzierżawcy w zapytaniach o fakty i odczytach pochodzenia. W rezultacie usunięcie jednego dzierżawcy mogło być przypisane do innego, a tłumienie tombstone mogło ukrywać fakty innych dzierżawców lub nie ukrywać faktów we właściwym dzierżawcy, podważając izolację danych i gwarancje RTBF. Podatność jest wykorzystywana tylko w środowiskach wielodostępnych z opcjonalną wtyczką stigmem-plugin-multi-tenant; wdrożenia jedno-dzierżawcze nie są dotknięte. Poprawiono w 0.9.0a12.
Ocena ryzyka
Naruszenie izolacji danych między dzierżawcami może prowadzić do nieprawidłowego przypisania usunięć, ukrywania lub nieukrywania faktów, co podważa zgodność z RODO i integralność danych.
Rekomendacja
Zaktualizuj stigmem-node do wersji 0.9.0a12 lub nowszej, która naprawia podatność, oraz upewnij się, że wdrożenia wielodostępne są odpowiednio skonfigurowane.
Oryginalny opis (angielski, źródło NVD)
stigmem-node before 0.9.0a12 contains a cross-tenant broken object level authorization (BOLA) flaw in the RTBF (right-to-be-forgotten) tombstone mechanism. issue_tombstone defaulted the tenant to "default" instead of the caller's tenant, allowing deletion records to be written to the wrong tenant, and the read-suppression path (_get_tombstone_filter and the tombstone scope cache) lacked a tenant_id predicate, so tombstone suppression was applied tenant-blind across fact queries and provenance reads. As a result, a tenant's deletion could be attributed to the wrong tenant and tombstone suppression could either hide facts belonging to other tenants or fail to hide facts within the correct tenant, undermining data isolation and RTBF guarantees. The issue is exploitable only on multi-tenant deployments running the opt-in stigmem-plugin-multi-tenant; single-tenant deployments are unaffected. Fixed in 0.9.0a12.