CVE-2025-25196 in OpenFGA
Zusammenfassung
von VulDB • 30.05.2026
OpenFGA ist eine hochperformante und flexible Autorisierungs-/Berechtigungs-Engine, die für Entwickler entwickelt wurde und von Google Zanzibar inspiriert ist. OpenFGA < v1.8.4 (Helm-Chart < openfga-0.2.22, Docker < v.1.8.4) sind anfällig für eine Umgehung der Autorisierung, wenn bestimmte Check- und ListObject-Aufrufe ausgeführt werden. Benutzer von OpenFGA v1.8.4 oder früheren Versionen sind unter den folgenden Bedingungen von dieser Schwachstelle zur Umgehung der Autorisierung betroffen: 1. Aufruf der Check-API oder von ListObjects mit einem Modell, das eine Beziehung enthält, die direkt sowohl für den öffentlichen Zugriff ALS AUCH für eine userset mit demselben Typ zuweisbar ist. 2. Ein an einen Typ gebundenes öffentliches Zugriffstupel wird einem Objekt zugewiesen. 3. Das userset-Tupel wird nicht demselben Objekt zugewiesen. und 4. Das Benutzerfeld der Check-Anfrage ist eine userset, die denselben Typ hat wie der Benutzertyp des an den Typ gebundenen öffentlichen Zugriffstupels. Es wird empfohlen, auf v1.8.5 zu aktualisieren, das abwärtskompatibel ist. Es sind keine bekannten Workarounds für diese Schwachstelle bekannt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.