CVE-2026-47697 in Shelf
Zusammenfassung
von VulDB • 24.07.2026
Shelf ist eine Plattform zur Verfolgung physischer Assets. Shelf ist multi-tenant; die Daten sind pro Organisation (Workspace) isoliert. Vor Version 1.20.2 akzeptierten mehrere Endpunkte Entity IDs aus den Eingabedaten der Anfrage und stellten über `connect` eine Verbindung her, lasen oder aktualisierten diese, ohne zu überprüfen, ob die IDs zur Organisation des Aufrufers gehörten. Ein authentifizierter Benutzer in Org A, der eine ID kannte oder erlangte, die zu Org B gehörte, konnte auf Daten von Org B über Organisationsgrenzen hinweg agieren (ein cross-tenant IDOR). Eine Einschränkung für Buchungen im persönlichen Workspace, die nur für Loader galt, war ebenfalls durch ein speziell erstelltes POST manipulierbar. Version 1.20.2 behebt das Problem. Es sind keine bekannten Workarounds verfügbar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.