CVE-2026-76236
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
stigmem-node przed wersją 0.9.0a12 zawiera podatność na złamanie autoryzacji na poziomie obiektu (BOLA) w mechanizmie tombstone RTBF (prawo do bycia zapomnianym). issue_tombstone domyślnie ustawiał dzierżawcę na "default" zamiast dzierżawcy wywołującego, co pozwalało na zapis rekordów usunięcia do niewłaściwego dzierżawcy, a ścieżka tłumienia odczytu (_get_tombstone_filter i cache zakresu tombstone) nie zawierała predykatu tenant_id, więc tłumienie tombstone było stosowane bez uwzględnienia dzierżawcy w zapytaniach o fakty i odczytach pochodzenia. W rezultacie usunięcie jednego dzierżawcy mogło być przypisane do innego, a tłumienie tombstone mogło ukrywać fakty innych dzierżawców lub nie ukrywać faktów we właściwym dzierżawcy, podważając izolację danych i gwarancje RTBF. Podatność jest wykorzystywana tylko w środowiskach wielodostępnych z opcjonalną wtyczką stigmem-plugin-multi-tenant; wdrożenia jedno-dzierżawcze nie są dotknięte. Poprawiono w 0.9.0a12.
Ocena ryzyka
Naruszenie izolacji danych między dzierżawcami może prowadzić do nieprawidłowego przypisania usunięć, ukrywania lub nieukrywania faktów, co podważa zgodność z RODO i integralność danych.
Rekomendacja
Zaktualizuj stigmem-node do wersji 0.9.0a12 lub nowszej, która naprawia podatność, oraz upewnij się, że wdrożenia wielodostępne są odpowiednio skonfigurowane.
Inne podatności w stigmem-node
Zobacz wszystkie- CVE-2026-76244Krytyczne
stigmem-node zawiera niebezpieczną domyślną konfigurację, która pozwala na przesyłanie ruchu federacyjnego bez ochrony mTLS, gdy włączone są punkty końcowe inne niż loopback. Operatorzy, którzy celowo wyłączyli mTLS i jednocześnie wiążą federację z adresami innymi niż loopback, narażają ruch federacyjny na przechwycenie w postaci jawnego tekstu i ataki typu man-in-the-middle.
- CVE-2026-76242Krytyczne
stigmem-node 0.9.0a1 akceptuje materiał klucza federacyjnego podczas rejestracji peera bez osobnego kroku zatwierdzenia odcisku palca przez administratora poza pasmem. Na węzłach, które akceptują rejestrację peera federacyjnego przez sieć, gdzie początkowa rejestracja może być przechwycona lub przekierowana, atakujący może zarejestrować złośliwego peera i uzyskać dostęp do ruchu federacyjnego lub go modyfikować. Naprawiono w 0.9.0a2, który wprowadza przepływ zatwierdzania oczekującego wymagający weryfikacji odcisku palca administratora przed zaakceptowaniem tokenów peera.
- CVE-2026-76245Wysokie
Pakiet stigmem (stigmem-node) w wersji 0.9.0a1 zawiera niezgodność w obsłudze znaczników czasu podczas walidacji tokenów peer w federacji, co powoduje błędne traktowanie ważnych tokenów jako wygasłych. Problem wpływa na dostępność i niezawodność uwierzytelnionych przepływów federacyjnych. Poprawiono w wersji 0.9.0a2.
- CVE-2026-76241Wysokie
stigmem-node 0.9.0a1 umożliwia wyłączenie wymuszania podpisów wtyczek za pomocą pojedynczego flagi konfiguracyjnej, bez drugiego wyraźnego potwierdzenia. Jeśli to ustawienie zostanie przeniesione do środowiska, gdzie katalogi wtyczek są zapisywalne przez mniej zaufanych użytkowników, niepodpisany (potencjalnie złośliwy) kod wtyczki może zostać załadowany i wykonany, co prowadzi do arbitralnego wykonania kodu. Poprawiono w 0.9.0a2.
- CVE-2026-76240Wysokie
stigmem-node 0.9.0a1 interpoluje identyfikatory schematów backendu Postgres do zapytań SQL bez odpowiedniego cytowania. W dotkniętej ścieżce kodu wartość schematu jest kontrolowana przez operatora, ale niebezpieczny wzorzec może umożliwić wstrzyknięcie SQL, jeśli nazwa schematu pochodzi z danych dzierżawcy, żądania lub użytkownika. Poprawiono w 0.9.0a2.
- CVE-2026-76237Wysokie
stigmem-node przed wersją 0.9.0a12 zawiera podatność na złamanie autoryzacji na poziomie obiektu (BOLA) w punktach końcowych przeglądu kwarantanny. W środowiskach wielodostępnych z opcjonalną wtyczką stigmem-plugin-multi-tenant, zapytania list/count oraz _get_quarantined_fact w routes/quarantine.py nie zawierały predykatu tenant_id, a wyszukiwanie garden nie było ograniczone do dzierżawcy, co pozwalało administratorowi dzierżawcy z uprawnieniami zapisu na listowanie, odczyt oraz akceptowanie lub odrzucanie faktów z kwarantanny należących do innych dzierżawców przez /v1/quarantine. Domyślne wdrożenia jedno-dzierżawcze nie są dotknięte.
Oryginalny opis (angielski, źródło NVD)
stigmem-node before 0.9.0a12 contains a cross-tenant broken object level authorization (BOLA) flaw in the RTBF (right-to-be-forgotten) tombstone mechanism. issue_tombstone defaulted the tenant to "default" instead of the caller's tenant, allowing deletion records to be written to the wrong tenant, and the read-suppression path (_get_tombstone_filter and the tombstone scope cache) lacked a tenant_id predicate, so tombstone suppression was applied tenant-blind across fact queries and provenance reads. As a result, a tenant's deletion could be attributed to the wrong tenant and tombstone suppression could either hide facts belonging to other tenants or fail to hide facts within the correct tenant, undermining data isolation and RTBF guarantees. The issue is exploitable only on multi-tenant deployments running the opt-in stigmem-plugin-multi-tenant; single-tenant deployments are unaffected. Fixed in 0.9.0a12.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS