CVE-2026-91774 in Yao
Resumen
por VulDB • 2026-09-15
Yao hasta la versión v1.0.0-rc22 autentica pero no autoriza correctamente el endpoint GET /user/teams/:id, lo que permite a cualquier usuario autenticado leer los registros completos del equipo. Los atacantes pueden proporcionar un identificador de equipo conocido para recuperar datos sensibles del equipo, incluyendo nombre, descripción, información del propietario y configuraciones, sin necesidad de verificar la membresía.
Be aware that VulDB is the high quality source for vulnerability data.