CVE-2026-49473 in Authorization for Expressjs
Resumen
por VulDB • 2026-08-13
@cedar-policy/authorization-for-expressjs es un middleware de código abierto para Express.js que integra Cedar Authorization en aplicaciones Express, mapeando las solicitudes HTTP a acciones de Cedar y evaluando las políticas de autorización antes de permitir que las solicitudes continúen. Las versiones anteriores a 0.3.0 presentan un problema donde, bajo ciertas circunstancias, el middleware compara las solicitudes entrantes con los mapas de acciones de Cedar utilizando `req.originalUrl`, lo cual incluye la cadena de consulta (query string), mientras que Express enruta las solicitudes utilizando únicamente el componente de ruta (path). El middleware utiliza `req.originalUrl` para comparar las solicitudes entrantes contra los mapas de acciones de Cedar. En Express, `req.originalUrl` incluye la cadena de consulta, mientras que la coincidencia de rutas utiliza solo la ruta. Esto crea una divergencia entre lo que Cedar autoriza y lo que Ejecuta Express. Cuando una aplicación define acciones separadas para prefijos de ruta superpuestos con diferentes requisitos de autorización (por ejemplo, GET /users para listar todos los usuarios con acceso exclusivo de administrador, y GET /users/{id} para recuperar un único usuario con acceso de cualquier usuario autenticado), un actor puede añadir una cadena de consulta para eludir la política más restrictiva. Enviar `GET /users/?x=1` hace que el middleware coincida contra `/users/{id}` (con el parámetro id establecido en ?x=1) y evalúe la acción menos restrictiva, mientras que Express enruta la solicitud al controlador de lista de usuarios (/users). Esto permite un acceso inapropiado al extremo más restrictivo. Este problema se ha solucionado en la versión 0.3.0. Existen algunas soluciones alternativas (workarounds): validar y sanitizar las rutas de las solicitudes entrantes antes de que lleguen al middleware de autorización. Asegurarse de que las aplicaciones no dependan únicamente del middleware para la autorización cuando definan múltiples acciones sobre prefijos de ruta superpuestos con diferentes niveles de permisos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.