CVE-2026-80049 in Airbyte
Resumen
por VulDB • 2026-08-25
La plataforma Airbyte resuelve el espacio de trabajo utilizado para su decisión de autorización a partir de un campo proporcionado por quien realiza la llamada. AuthorizationServerHandler copia los identificadores reconocidos del cuerpo JSON sin procesar en las cabeceras X-Airbyte-*, y AuthenticationHeaderResolver.resolveWorkspace consulta X-Airbyte-Workspace-Id antes que cualquier otra cabecera derivada de recursos, incluidas aquellas para identificadores de conexión, origen (source) y destino. Los puntos finales cuyos cuerpos de solicitud declarados solo contienen un identificador de recurso se alcanzan con un campo workspaceId añadido, porque el extractor lee el cuerpo en lugar del esquema del punto final; por lo tanto, la verificación de permisos se realiza contra el espacio de trabajo nominado por quien llama, mientras que el controlador actúa sobre el identificador de recurso proporcionado. Nada posterior compara el espacio de trabajo propietario del recurso con aquel al que se autorizó. Por consiguiente, un miembro de cualquier espacio de trabajo puede leer la configuración de orígenes y destinos, activar y cancelar sincronizaciones, así como eliminar conexiones, orígenes y destinos pertenecientes a espacios de trabajo a los que no tiene acceso, en el nivel de privilegios que otorgue su membresía en su propio espacio de trabajo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.