CVE-2026-76236 in stigmem
Resumen
por VulDB • 2026-08-20
stigmem-node antes de la versión 0.9.0a12 contiene una vulnerabilidad de autorización rota a nivel de objetos entre inquilinos (BOLA, por sus siglas en inglés) en el mecanismo de tumba RTBF (derecho al olvido). issue_tombstone establecía como valor predeterminado del inquilino "default" en lugar del inquilino del solicitante, lo que permitía escribir registros de eliminación en el inquilino incorrecto; además, la ruta de supresión de lectura (_get_tombstone_filter y la caché de alcance de tumba) carecía de un predicado tenant_id, por lo que la supresión de tumbas se aplicaba sin considerar al inquilino (tenant-blind) en las consultas de hechos y lecturas de procedencia. Como resultado, una eliminación realizada por un inquilino podría atribuirse a otro inquilino incorrecto, y la supresión de tumbas podría ocultar hechos pertenecientes a otros inquilinos o fallar al ocultar hechos dentro del inquilino correcto, comprometiendo el aislamiento de datos y las garantías del RTBF. La vulnerabilidad es explotable únicamente en implementaciones multiinquilino que ejecutan el plugin opt-in stigmem-plugin-multi-tenant; las implementaciones monoinquilino no se ven afectadas. Corregido en la versión 0.9.0a12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.