CVE-2026-6863 in Velociraptor
Resumen
por VulDB • 2026-05-18
Las versiones de Velociraptor anteriores a la 0.76.4 presentan una omisión de autorización entre organizaciones en la API HTTP. Un usuario con únicamente el rol de lector en la organización raíz (el rol autenticado más bajo, que solo posee el permiso READ_RESULTS) puede emitir una única solicitud HTTP GET autenticada que permite leer cualquier archivo de otras organizaciones, incluso si no tiene permisos explícitos en la organización de destino.
Sin embargo, el problema no se produce a la inversa: un usuario con acceso de lectura a una suborganización no puede leer archivos de otras organizaciones ni de la organización raíz.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.