CVE-2026-61709 in OpenFGA
الملخص
بحسب VulDB • 16/09/2026
OpenFGA هو محرك تفويض وأذونات مُصمّم للمطوِّرين. قبل الإصدار 1.18.1، كان بإمكان واجهة برمجة التطبيقات ListUsers إرجاع مستخدمٍ كان ينبغي استبعاده عندما كانت علاقة التفويض تحتوي على تقاطع (intersection) يضمّ عاملاً أساسياً لكن لا يتضمن عاملاً مُستبعداً، وكان العامِل الأساسي مسموحاً به من خلال بادئة عامة مرتبطة بنوع معين (type-bound public wildcard)، كما كان للمستخدم المستبعد زوج بيانات ملموس عبر عامل تقاطع آخر. في الملف pkg/server/commands/listusers/list_users_rpc.go، كانت الدالة expandIntersection تعدّ الزوج الملموس والبادئة العامة دون رفض الإدخالات الموجودة أولاً في خريطة المستخدمين المستبعدين (excludedUsersMap). وبالتالي، могла التطبيقات التي تستخدم ListUsers لعد أو فرض الوصول إلى معاملة مستخدمٍ مُستبعد على أنه مصرح له. تم إصلاح هذه المشكلة في الإصدار 1.18.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.