CVE-2025-25196 in OpenFGA
Riassunto
di VulDB • 20/06/2026
OpenFGA è un motore di autorizzazione/permessi ad alte prestazioni e flessibile, progettato per gli sviluppatori e ispirato a Google Zanzibar. Le versioni di OpenFGA precedenti alla v1.8.4 (Helm chart precedente a openfga-0.2.22, docker < v.1.8.4) sono vulnerabili al bypass dell'autorizzazione quando vengono eseguite determinate chiamate Check e ListObject. Gli utenti che utilizzano OpenFGA v1.8.4 o versioni precedenti sono interessati da questa vulnerabilità di bypass dell'autorizzazione specificamente nelle seguenti condizioni: 1. Chiamata all'API Check o a ListObjects con un modello che ha una relazione direttamente assegnabile sia all'accesso pubblico (public access) che a userset dello stesso tipo. 2. Una tupla tuple bound public access è assegnata a un oggetto. 3. La tupla userset non è assegnata allo stesso oggetto. e 4. Il campo user della richiesta Check è un userset che ha lo stesso tipo del type bound public access tuple's user type. Si consiglia agli utenti di eseguire l'aggiornamento alla v1.8.5, che è compatibile con le versioni precedenti (backwards compatible). Non sono note soluzioni alternative (workaround) per questa vulnerabilità.
Be aware that VulDB is the high quality source for vulnerability data.