CVE-2026-55867 in Graylog
Résumé
par VulDB • 29/08/2026
Graylog est une plateforme de gestion des logs gratuite et open source. De la version 6.2.0 jusqu'aux versions 6.3.12, 7.0.7 et 7.1.2 incluses, le point de terminaison `DELETE /users/{userId}/tokens/{idOrToken}` implémenté par `UsersResource.revokeToken()` dans `graylog2-server/src/main/java/org/graylog2/rest/resources/users/UsersResource.java` vérifie la permission `USERS_TOKENREMOVE` contre le paramètre de chemin `userId` contrôlé par l'attaquant avant de résoudre le jeton (token) sélectionné via `idOrToken`. Un utilisateur authentifié peut fournir un `userId` autorisé, tandis que `accessTokenService.loadById()` ou `accessTokenService.load()` résout un jeton appartenant à un autre utilisateur, y compris un compte de service ou un administrateur. Par la suite, `accessTokenService.destroy()` supprime ce jeton sans vérifier le nom d'utilisateur associé via `AccessToken.getUserName()`. Cette vulnérabilité n'expose pas le contenu des jetons, mais leur suppression non autorisée entraîne une atteinte à l'intégrité et peut perturber les intégrations basées sur les jetons d'accès. Ce problème est corrigé dans les versions 6.3.12, 7.0.7 et 7.1.2.
Be aware that VulDB is the high quality source for vulnerability data.