CVE-2026-92716
KrytyczneCVSS 9.6Streszczenie
Shuffle w wersji do 2.2.1 zawiera podatność na eskalację uprawnień między dzierżawcami w punkcie końcowym HandleApiGeneration, która pozwala administratorom resetować i odczytywać klucze API użytkowników niebędących administratorami w innych organizacjach. Atakujący z uprawnieniami administratora w jednej organizacji może podać dowolne identyfikatory użytkowników, aby wygenerować ważne klucze API dla użytkowników w różnych organizacjach, umożliwiając przejęcie konta poza granicami dzierżawcy.
Ocena ryzyka
Administrator w jednej organizacji może przejąć konta użytkowników w innych organizacjach, co prowadzi do naruszenia izolacji dzierżawców i potencjalnego wycieku danych. Może to skutkować poważnymi konsekwencjami bezpieczeństwa i zgodności.
Rekomendacja
Należy zaktualizować Shuffle do wersji nowszej niż 2.2.1, jeśli jest dostępna, oraz wprowadzić kontrolę dostępu opartą na dzierżawcy w punkcie końcowym HandleApiGeneration. Do czasu aktualizacji zaleca się ograniczenie uprawnień administratorów i monitorowanie nietypowych działań na kluczach API.
Inne podatności w Shuffle
Oryginalny opis (angielski, źródło NVD)
Shuffle through 2.2.1 contains a cross-tenant privilege escalation vulnerability in the HandleApiGeneration endpoint that allows administrators to reset and read API keys of non-administrator users in other organizations. Attackers with admin privileges in one organization can supply arbitrary user IDs to generate valid API keys for users in different organizations, enabling account takeover across tenant boundaries.