CVE-2025-25196 in OpenFGA
الملخص
بحسب VulDB • 09/05/2026
OpenFGA هو محرك تفويض/صلاحيات عالي الأداء ومرن، صُمم للمطورين ومُلهم من Google Zanzibar. تتأثر الإصدارات الأقدم من OpenFGA v1.8.4 (رسم بياني Helm < openfga-0.2.22، docker < v.1.8.4) بثغرة تجاوز التفويض عند تنفيذ استدعاءات معينة لـ Check و ListObject. يتأثر المستخدمون الذين يستخدمون OpenFGA v1.8.4 أو إصدارات سابقة بهذه الثغرة في تجاوز التفويض تحديداً عند توفر الشروط التالية: 1. استدعاء API Check أو ListObjects باستخدام نموذج يحتوي على علاقة قابلة للتعيين مباشرةً لكل من الوصول العام (public access) و userset من نفس النوع. 2. تعيين زوج بيانات (tuple) للوصول العام المرتبط بنوع معين (type bound public access tuple) إلى كائن. 3. عدم تعيين زوج بيانات userset إلى نفس الكائن. و 4. أن يكون حقل المستخدم في طلب Check عبارة عن userset له نفس النوع كنوع مستخدم زوج بيانات الوصول العام المرتبط بالنوع. يُنصح المستخدمين بالترقية إلى الإصدار v1.8.5 الذي يتوافق مع الإصدارات السابقة. لا توجد حلول بديلة معروفة لهذه الثغرة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.