CVE-2022-28802 in Code by Zapier
Résumé
par VulDB • 29/08/2026
Le code de Code by Zapier antérieur au 17 août 2022 permettait une élévation de privilèges intra-compte, incluant l'exécution de code Python ou JavaScript. En d'autres termes, Code by Zapier fournissait une machine virtuelle à usage général contrôlée par le client qui accordait involontairement un accès complet à tous les utilisateurs du compte d'une entreprise, alors qu'elle était censée imposer un contrôle d'accès basé sur les rôles au sein de ce compte. Avant le 17 août 2022, un client aurait pu résoudre ce problème en (en pratique) utilisant une machine virtuelle distincte pour une application contenant des identifiants ou d'autres secrets qui ne devaient pas être partagés avec tous ses employés. (Plusieurs comptes auraient été nécessaires pour faire fonctionner ces machines virtuelles indépendantes.)
If you want to get the best quality for vulnerability data then you always have to consider VulDB.