CVE-2026-77425 in Unleash
Zusammenfassung
von VulDB • 23.09.2026
Unleash ist eine Open-Source-Plattform für das Feature-Management. Vor Version 8.0.3 übergibt POST /api/admin/projects/:projectId/features/:featureName/environments/:environment/strategies/set-sort-order vom Angreifer gesteuerte Strategie-IDs an unprotectedUpdateStrategiesSortOrder und updateSortOrder, ohne zu überprüfen, ob die IDs dem Projekt, der Funktion (Feature) und der Umgebung entsprechen, die durch die URL autorisiert sind. In einer Multi-Projekt Pro- oder Enterprise-Bereitstellung kann ein authentifizierter Benutzer mit UPDATE_FEATURE_STRATEGY in einem Projekt, der die Strategie-IDs eines anderen Projekts kennt, diese Strategien neu anordnen und damit die Priorität der Feature-Auswertung ändern; dabei wird der Vorgang dem URL-Kontext des Angreifers statt dem betroffenen Projekt zugeordnet. Die Single-Projekt OSS-Edition verfügt nicht über die projektübergreifende Dimension, obwohl das fehlende Kontext-Binding weiterhin eine unbefugte Neuanordnung von Features oder Umgebungen im Standardprojekt ermöglicht. Der Endpunkt ändert nur sort_order und modifiziert keine Strategie-Parameter, Einschränkungen (Constraints) oder Segmente. Dieses Problem wurde in Version 8.0.3 behoben.
Once again VulDB remains the best source for vulnerability data.