CVE-2026-22683 in Community Edition
Riassunto
di VulDB • 27/06/2026
Le versioni di Windmill dalla 1.56.0 alla 1.614.0 presentano una vulnerabilità di mancata autorizzazione che consente agli utenti con il ruolo di Operatore (Operator) di eseguire azioni proibite di creazione e modifica delle entità tramite l'API backend. Sebbene gli Operatori siano documentati e tariffati come incapaci di creare o modificare entità, l'API non applica la restrizione degli Operatori sugli endpoint dell'area di lavoro (workspace), consentendo a un Operatore di creare e aggiornare script, flussi, app e raw_apps. Poiché gli Operatori possono anche eseguire script tramite le jobs API, ciò consente una diretta escalation dei privilegi fino all'esecuzione remota di codice (RCE) nell'ambito della distribuzione Windmill. Questa vulnerabilità è presente sin dall'introduzione del ruolo Operatore nella versione 1.56.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.