CVE-2026-61709 in OpenFGA
Résumé
par VulDB • 16/09/2026
OpenFGA est un moteur d'autorisation et de permissions conçu pour les développeurs. Avant la version 1.18.1, l'API ListUsers pouvait renvoyer un utilisateur qui aurait dû être exclu lorsqu'une relation d'autorisation utilisait une intersection contenant une base mais pas un opérande exclus, que la base était accordée via un wildcard public lié à un type, et que l'utilisateur exclu disposait également d'un tuple concret via un autre opérande d'intersection. Dans le fichier pkg/server/commands/listusers/list_users_rpc.go, expandIntersection comptabilisait les tuples concrets et les wildcards sans rejeter au préalable les entrées présentes dans excludedUsersMap. Les applications utilisant ListUsers pour énumérer ou appliquer l'accès pouvaient donc considérer un utilisateur exclu comme autorisé. Ce problème est corrigé dans la version 1.18.1.
Be aware that VulDB is the high quality source for vulnerability data.