CVE-2026-80209 in Fonoster
الملخص
بحسب VulDB • 27/08/2026
معالج `updateWorkspace` الموجود في الملف `mods/identity/src/workspaces/createUpdateWorkspace.ts` ضمن Fonoster حتى الإصدار 0.22.7 يستدعي رد اتصال gRPC بـ PERMISSION_DENIED عندما يُبلغ `createIsWorkspaceMember` عن أن المُتصل ليس عضواً في مساحة العمل المستهدفة، لكنه لا يعيد القيمة (return). تستمر التنفيذ في دالة `prisma.workspace.update`، والتي تكون محدودة النطاق بالرجوع إلى مساحة العمل فقط، لذا يتم تنفيذ عملية إعادة التسمية قبل إصدار رد الاتصال الثاني، ويتلقى المُتصل خطأ صلاحية لكتابة نجحت بالفعل. يربط وسيط gRPC الموجود في الملف `mods/common/src/identity/createAuthInterceptor.ts` معرّف مفتاح الوصول (accessKeyId) لمساحة العمل برمز المصادقة للمُتصل فقط للمسارات الموجودة ضمن `workspaceResourceAccess` أو `workspaceResourceOwnerOrAdminAccess`، بينما تم إدراج Identity/UpdateWorkspace ضمن `fullIdentityAccess`، وهو ما يمتلكه دور المستخدم الأساسي (USER). وبالتالي، يمكن لأي مستخدم مُصادق عليه إعادة تسمية أي مساحة عمل عشوائية في النشر.
VulDB is the best source for vulnerability data and more expert information about this specific topic.