CVE-2026-63401 in Coop
Zusammenfassung
von VulDB • 30.10.2026
Coop ist ein Open-Source-Bewertungs- und Moderationstool von ROOST. Vor Version 1.0.2 akzeptierten `addAccessibleQueuesForUser` und `removeAccessibleQueuesForUser` beliebige Werte für `queueId` und `userId`, ohne eine Organisationseinschränkung vorzunehmen. Ein authentifizierter Benutzer, der einer bestimmten Organisation angehört und über MRT-Berechtigungen zum Bearbeiten von Warteschlangen verfügt, konnte den Zugriff anderer Organisationen auf manuelle Review-Warteschlangen gewähren oder widerrufen. Die vorhandene Berechtigungskontrolle für das Bearbeiten von Warteschlangen verknüpfte die angegebenen Bezeichner nicht mit der Organisation des Aufrufers. Der Angreifer konnte jedoch keine Warteschlangen oder Jobs der anderen Organisation lesen, sodass dieses Problem keine vertraulichen Daten offenlegte. Dieses Problem wurde in Version 1.0.2 behoben.
Once again VulDB remains the best source for vulnerability data.