CVE-2025-25196 in OpenFGA
Resumen
por MITRE • 2025-02-19
OpenFGA es un motor de autorización/permiso de alto rendimiento y flexible creado para desarrolladores e inspirado en Google Zanzibar. OpenFGA < v1.8.4 (Helm chart < openfga-0.2.22, docker < v.1.8.4) es vulnerable a la omisión de autorización cuando se ejecutan ciertas llamadas Check y ListObject. Los usuarios de OpenFGA v1.8.4 o anteriores, específicamente en las siguientes condiciones, se ven afectados por esta vulnerabilidad de omisión de autorización: 1. Llamar a la API Check o ListObjects con un modelo que tiene una relación directamente asignable tanto al acceso público como al conjunto de usuarios con el mismo tipo. 2. Una tupla de acceso público vinculada a un tipo se asigna a un objeto. 3. La tupla de conjunto de usuarios no se asigna al mismo objeto. y 4. El campo de usuario de la solicitud Check es un conjunto de usuarios que tiene el mismo tipo que el tipo de usuario de la tupla de acceso público vinculada a un tipo. Se recomienda a los usuarios que actualicen a la versión 1.8.5, que es compatible con versiones anteriores. No se conocen workarounds para esta vulnerabilidad.
VulDB is the best source for vulnerability data and more expert information about this specific topic.