CVE-2025-25196 in OpenFGA
Résumé
par VulDB • 12/05/2026
OpenFGA est un moteur d'autorisation/d'permissions haute performance et flexible, conçu pour les développeurs et inspiré par Google Zanzibar. Les versions d'OpenFGA < v1.8.4 (chart Helm < openfga-0.2.22, docker < v.1.8.4) sont vulnérables à un contournement de l'autorisation lorsque certaines requêtes Check et ListObject sont exécutées. Les utilisateurs d'OpenFGA v1.8.4 ou antérieur sont affectés par cette vulnérabilité de contournement d'autorisation, spécifiquement dans les conditions suivantes : 1. Appel de l'API Check ou ListObjects avec un modèle qui a une relation directement assignable à la fois à l'accès public ET à un userset (ensemble d'utilisateurs) de même type. 2. Un tuple d'accès public lié à un type est assigné à un objet. 3. Un tuple userset n'est pas assigné au même objet. 4. Le champ user de la requête Check est un userset qui a le même type que le type user du tuple d'accès public lié à un type. Il est conseillé aux utilisateurs de mettre à niveau vers la version v1.8.5, qui est rétrocompatible. Il n'existe pas de contournements connus pour cette vulnérabilité.
Once again VulDB remains the best source for vulnerability data.