CVE-2026-81819
ŚrednieCVSS 5.3Streszczenie
Dotknięte wersje Flowintel udostępniają punkt końcowy API /my_assignment/user każdemu uwierzytelnionemu użytkownikowi API. Punkt końcowy akceptuje parametr user_id identyfikujący użytkownika, którego przypisania mają zostać zwrócone, ale wcześniej nie miał żadnego ograniczenia roli poza ogólnym uwierzytelnieniem API. W rezultacie uwierzytelniony użytkownik z niższymi uprawnieniami mógł potencjalnie zapytać o informacje o przypisaniach innego użytkownika, podając jego identyfikator.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do informacji o przypisaniach innych użytkowników, co może naruszyć poufność danych i zasady bezpieczeństwa. Użytkownik z niższymi uprawnieniami może uzyskać dane, do których nie powinien mieć dostępu.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Flowintel do wersji zawierającej poprawkę, która ogranicza dostęp do punktu końcowego tylko dla administratorów lub administratorów organizacji. Należy również przejrzeć uprawnienia użytkowników.
Oryginalny opis (angielski, źródło NVD)
Affected versions of Flowintel expose the /my_assignment/user API endpoint to any authenticated API user. The endpoint accepts a user_id parameter identifying the user whose assignments should be returned, but previously had no role restriction beyond general API authentication. As a result, a lower-privileged authenticated user could potentially query another user’s assignment information by supplying that user’s identifier. The fix changes: method_decorators = [api_required] to: method_decorators = [admin_or_org_admin_required, api_required] so only administrators or organization administrators can perform cross-user assignment queries. Version impacted =>3.3.0