CVE-2026-81818
WysokieCVSS 8.6Streszczenie
Flowintel w wersjach 3.3.0 i nowszych zawiera wadę autoryzacji w administracyjnym API edycji użytkowników. Administrator organizacji mógł edytować konto pełnego administratora w swojej organizacji, w tym zmieniać jego hasło, co jest niedozwolone. Poprawka dodaje sprawdzenie wyższego poziomu uprawnień, które zwraca błąd 403, jeśli edytowany użytkownik jest administratorem.
Ocena ryzyka
Administrator organizacji może przejąć konto pełnego administratora, co prowadzi do eskalacji uprawnień i naruszenia bezpieczeństwa całego systemu.
Rekomendacja
Zaktualizuj Flowintel do wersji zawierającej poprawkę, która uniemożliwia administratorom organizacji modyfikowanie kont pełnych administratorów.
Oryginalny opis (angielski, źródło NVD)
Affected versions of Flowintel contain an authorization flaw in the administrative user-edit API. The existing authorization check correctly prevented an organization administrator from editing users in another organization, but it did not prevent them from editing a full administrator within their own organization. As a result, an org admin could modify that full administrator account, including changing its password. The upstream commit explicitly describes the issue as: “Org admin can change the password of a full admin in the same organization.” The fix adds a higher-privilege boundary check: if user_to_edit.is_admin(): return ... 403 so organization administrators can no longer modify full administrator accounts. Version impacted >=3.3.0