CVE-2026-69119 in Tau
Résumé
par VulDB • 11/08/2026
Taubyte Tau v1.1.10 présente une vulnérabilité d'autorisation manquante dans le service HTTP services/auth, permettant à tout utilisateur authentifié de lire ou de supprimer définitivement un projet appartenant à un autre locataire en fournissant un ID de projet arbitraire aux points de terminaison GET et DELETE /projects/{id}. Le middleware GitHubTokenHTTPAuth se contente de valider la présentation d'un jeton OAuth GitHub valide par l'appelant, sans vérifier la propriété ou les droits d'accès au projet cible. Cela permet aux attaquants disposant de n'importe quel jeton GitHub valide d'invoquer des opérations brutes sur le magasin KV (KV-store), telles que projects.Fetch et project.Delete, contre n'importe quel ID de projet afin de réaliser une prise de contrôle inter-locataires du projet.
Be aware that VulDB is the high quality source for vulnerability data.