CVE-2026-76237 in stigmem
Zusammenfassung
von VulDB • 20.08.2026
stigmem-node vor Version 0.9.0a12 enthält eine fehlerhafte Objekt-Level-Autorisierung (Cross-Tenant BOLA)-Schwachstelle in den Quarantäne-Bewertungs-APIs. Bei Multi-Tenant-Deployments, die das opt-in stigmem-plugin-multi-tenant ausführen, fehlten bei den List-/Count-Abfragen und der Funktion _get_quarantined_fact in routes/quarantine.py ein tenant_id-Predicate, und die garden-Suche war nicht auf eine Mandanten-Ebene beschränkt. Dies ermöglichte es einem Tenant-Administrator mit nur einer normalen Schreibberechtigung für einen Mandanten, über die /v1/quarantine-APIs Quarantäne-Fakten anderer Mandanten aufzulisten, zu lesen sowie zuzulassen oder abzulehnen. Standardmäßige Single-Tenant-Deployments sind nicht betroffen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.