CVE-2026-80209 in Fonoster
Résumé
par VulDB • 27/08/2026
Le gestionnaire updateWorkspace dans mods/identity/src/workspaces/createUpdateWorkspace.ts de Fonoster jusqu'à la version 0.22.7 invoque le rappel gRPC avec PERMISSION_DENIED lorsque createIsWorkspaceMember signale que l'appelant n'est pas membre de l'espace de travail cible, mais ne retourne pas. L'exécution se poursuit vers prisma.workspace.update, qui est limité par la seule référence à l'espace de travail ; ainsi, le renommage est validé avant qu'un deuxième rappel ne soit émis et l'appelant reçoit une erreur d'autorisation pour une opération d'écriture ayant déjà réussi. L'intercepteur gRPC dans mods/common/src/identity/createAuthInterceptor.ts lie la clé d'accès accessKeyId de l'espace de travail au jeton de l'appelant uniquement pour les chemins figurant dans workspaceResourceAccess ou workspaceResourceOwnerOrAdminAccess, et Identity/UpdateWorkspace est répertorié dans fullIdentityAccess, auquel le rôle USER par défaut a accès. Tout utilisateur authentifié peut donc renommer n'importe quel espace de travail au sein du déploiement.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.