CVE-2026-82874
KrytyczneCVSS 9.9Streszczenie
ToolJet przed wersją v3.16.208 nie weryfikuje, czy uwierzytelnieni użytkownicy należą do organizacji wskazanej w parametrze organizationId w endpointach tooljet-db. Pozwala to każdemu użytkownikowi z rolą Builder na odczyt, modyfikację i usuwanie tabel w innych organizacjach. Atakujący mogą wyciągnąć identyfikatory organizacji z publicznych endpointów aplikacji, a następnie wykorzystać endpointy operacji na schematach do ujawnienia schematów, tworzenia złośliwych tabel, uszkadzania schematów lub trwałego usuwania danych.
Ocena ryzyka
Ryzyko: naruszenie izolacji między dzierżawcami (tenantami), co może prowadzić do utraty danych, nieautoryzowanego dostępu do danych innych organizacji oraz uszkodzenia integralności danych.
Rekomendacja
Zaktualizuj ToolJet do wersji v3.16.208 lub nowszej, która zawiera poprawkę, oraz sprawdź logi pod kątem nieautoryzowanych operacji na tabelach.
Inne podatności w ToolJet
Zobacz wszystkie- CVE-2026-82875Średnie
ToolJet przed wersją v3.16.208 zawiera podatność na obejście autoryzacji w kontrolerach TooljetDB, które akceptują organizationId z ścieżki URL bez weryfikacji, czy odpowiada ono obszarowi roboczemu uwierzytelnionego użytkownika. Uwierzytelnieni użytkownicy mogą wyliczać, tworzyć, zmieniać nazwy i usuwać tabele TooljetDB w dowolnym innym obszarze roboczym, manipulując parametrem organizationId w żądaniach.
- CVE-2026-82873Średnie
ToolJet do wersji 3.0.0-ee-beta.2 zawiera podatności na obejście autoryzacji w punkcie końcowym POST /api/v2/resources/export, które pozwalają uwierzytelnionym użytkownikom na ujawnienie schematów tabel TooljetDB poza granicami obszarów roboczych oraz eksport definicji aplikacji poza granice uprawnień. Atakujący mogą podać parametr organization_id w treści żądania, aby uzyskać dostęp do schematów z innych obszarów roboczych lub ominąć bramki autoryzacji per aplikacja, aby eksportować ograniczone definicje aplikacji w swoim obszarze roboczym.
- CVE-2026-82871Wysokie
ToolJet przed wersją v3.16.208 nie weryfikuje przynależności do organizacji w trasach odczytu bazy danych, co pozwala każdemu uwierzytelnionemu użytkownikowi na dostęp do schematów tabel i danych wierszy innych organizacji. Atakujący mogą podawać dowolne identyfikatory organizacji w parametrach URL, aby wyświetlić listę tabel, pobrać definicje kolumn i wykonać zapytania łączące w celu odczytania rzeczywistych danych ofiar.
- CVE-2026-82872Krytyczne
ToolJet przed wersją v3.16.208 nie weryfikuje, czy parametr organizationId w ścieżce odpowiada obszarowi roboczemu uwierzytelnionego użytkownika przed wykonaniem operacji na tabelach ToolJet DB. Administrator obszaru roboczego może tworzyć, przeglądać i usuwać tabele w innym obszarze roboczym, podmieniając parametr organizationId w żądaniach API zarządzania tabelami.
- CVE-2026-82870Krytyczne
ToolJet przed wersją v3.16.208 nie weryfikuje własności organizationId w trasach zapisu i niszczenia bazy danych, co pozwala każdemu użytkownikowi z rolą builder na tworzenie, modyfikowanie lub usuwanie tabel w bazach danych innych organizacji. Atakujący mogą wykorzystać brak zabezpieczeń do trwałego usuwania tabel, wstawiania dowolnych danych i modyfikowania schematów w obrębie współdzielonych instancji.
- CVE-2026-55413Krytyczne
W ToolJet przed wersją 3.20.178-lts, uwierzytelniony użytkownik z rolą budowniczego (darmowy poziom) mógł nadpisać globalnie udostępniony plugin rynku dowolnym kodem JavaScript, który wykonywał się po stronie serwera z pełnym dostępem do Node.js. Złośliwy kod uruchamiał się za każdym razem, gdy jakikolwiek użytkownik na instancji wywoływał zapytanie przy użyciu tego pluginu, co prowadziło do zdalnego wykonania kodu (RCE) oraz kompromitacji łańcucha dostaw całej instalacji ToolJet.
- CVE-2026-73068Średnie
ToolJet, platforma do budowania narzędzi wewnętrznych, przed wersją 3.20.207 zawiera podatność w API bazy danych ToolJet, która autoryzuje operacje na podstawie wartości :organizationId w URL bez weryfikacji, czy wywołujący należy do tej organizacji. Uwierzytelniony użytkownik może ustawić nagłówek tj-workspace-id na własny workspace i celować w inny workspace, co umożliwia ujawnienie nazw tabel, schematów i wierszy oraz tworzenie, modyfikowanie, masowe wypełnianie lub usuwanie tabel między tenantami. Problem naprawiono w wersji 3.20.207-lts.
- CVE-2026-54344Średnie
Podatność w ToolJet przed wersją 3.20.180 pozwala na wstrzyknięcie poleceń powłoki przez komentarz w pull requeście. CI runner wykonuje kod z komentarza, co umożliwia kradzież sekretów wdrożeniowych.
- CVE-2022-27979Średnie
W ToolJet w wersji 1.6.0 wykryto podatność na ataki typu cross-site scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript lub HTML do komponentu Comment Body.
- CVE-2022-27978Wysokie
Podatność w Tooljet v1.6 wynika z nieprawidłowego obsługiwania brakujących wartości w API, co umożliwia atakującym dowolne resetowanie haseł poprzez spreparowane żądanie HTTP.
Oryginalny opis (angielski, źródło NVD)
ToolJet before v3.16.208 fails to validate that authenticated users belong to the organization specified in the organizationId path parameter of tooljet-db endpoints, allowing any Builder user to read, modify, and delete tables across tenant boundaries. Attackers can extract victim organization IDs from public app endpoints, then exploit schema operation endpoints to disclose table schemas, plant malicious tables, corrupt existing schemas, or permanently destroy victim data without any relationship to the target organization.