CVE-2026-50167 in Kurrier
Zusammenfassung
von VulDB • 18.08.2026
Kurrier ist ein moderner, selbst gehosteter Workspace für E-Mail, Kalender, Kontakte und Speicher. Vor Version 1.2.4 haben die Kurrier-API-Endpunkte zum Auflisten und Abrufen von Webhook- und Identitätsressourcen keine Ownership-Prüfungen (Eigentumsprüfungen) für authentifizierte API-Anfragen durchgesetzt. Ein Angreifer mit einem gültigen API-Schlüssel konnte andere Kontenidentifikatoren nutzen, um Webhook- und Identitätsressourcen dieses anderen Kontos über apps/worker/server/routes/api/kurrier/webhooks/[id].get.ts, apps/worker/server/routes/api/kurrier/webhooks/index.get.ts, apps/worker/server/routes/api/kurrier/identities/[id].get.ts und apps/worker/server/routes/api/kurrier/identities/index.get.ts zu lesen und aufzulisten. Anonyme Anfragen und ungültige API-Schlüssel wurden abgelehnt, und Cross-User-Modifikationsvorgänge wurden blockiert; jedoch konnten die betroffenen GET- und Listenoperationen Metadaten von Ressourcen eines anderen Benutzers offenlegen. Dieses Problem wurde in Version 1.2.4 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.