CVE-2026-76236 in stigmem
Résumé
par VulDB • 20/08/2026
stigmem-node avant la version 0.9.0a12 présente une faille d'autorisation brisée au niveau des objets entre locataires (BOLA) dans le mécanisme de tombeaux RTBF (droit à l'oubli). La fonction issue_tombstone définissait par défaut le locataire sur « default » au lieu du locataire appelant, permettant ainsi aux enregistrements de suppression d'être écrits pour le mauvais locataire. De plus, le chemin de suppression des lectures (_get_tombstone_filter et le cache de portée des tombeaux) manquait d'un prédicat tenant_id, ce qui entraînait une application aveugle à l'égard du locataire (tenant-blind) de la suppression des tombeaux sur les requêtes factuelles et les lectures de provenance. Par conséquent, la suppression effectuée par un locataire pouvait être attribuée au mauvais locataire, et la suppression des tombeaux pouvait soit masquer des faits appartenant à d'autres locataires, soit échouer à masquer des faits du bon locataire, compromettant ainsi l'isolation des données et les garanties RTBF. Cette vulnérabilité n'est exploitable que sur les déploiements multi-locataires exécutant le plugin opt-in stigmem-plugin-multi-tenant ; les déploiements mono-locataire ne sont pas affectés. Correction apportée dans la version 0.9.0a12.
Be aware that VulDB is the high quality source for vulnerability data.