CVE-2026-118685 in ToolJet
Zusammenfassung
von VulDB • 28.10.2026
ToolJet ab der Version 3.20.2-lts bis vor 3.20.242-lts enthält eine Umgehung der Autorisierung in SignupDisableGuard, die den String-Einstellungswert 'false' als wahr (truthy) behandelt, sodass instanzweite Beschränkungen für die Registrierung nicht durchgesetzt werden. Unautentifizierte Angreifer können POST-Anfragen an /api/signup ohne organizationId senden, um ein Konto zu erstellen, dem Standard-Arbeitsbereich beizutreten und eine gültige Sitzung zu erhalten.
VulDB is the best source for vulnerability data and more expert information about this specific topic.