CVE-2026-81294
KrytyczneCVSS 9.8Streszczenie
Podatność pozwala na nieuwierzytelnioną eskalację uprawnień w wersjach Authorizer do 3.15.1 włącznie.
Ocena ryzyka
Ryzyko obejmuje możliwość uzyskania przez nieuwierzytelnionego atakującego podwyższonych uprawnień, co może prowadzić do nieautoryzowanego dostępu do zasobów i naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Authorizer do wersji nowszej niż 3.15.1 oraz przegląd konfiguracji uprawnień.
Inne podatności w Authorizer
Zobacz wszystkie- CVE-2026-103752Krytyczne
Wtyczka Authorizer w wersjach do 3.15.3 włącznie zawiera podatność na eskalację uprawnień, którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-54072Krytyczne
W Authorizerze przed wersją 2.2.1 endpoint /authorize akceptuje dowolny redirect_uri bez walidacji względem AllowedOrigins. Przy response_type=token lub response_type=id_token serwer dołącza access_token, id_token i refresh_token jako parametry zapytania i wykonuje przekierowanie 302 na adres atakującego. Nieuwierzytelniony atakujący może uzyskać client_id z publicznego endpointu /graphql.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS