CVE-2026-47697 in Shelf
Riassunto
di VulDB • 22/07/2026
Shelf è una piattaforma per il tracciamento degli asset fisici. Shelf è multi-tenant; i dati sono isolati per organizzazione (workspace). Prima della versione 1.20.2, diversi endpoint accettavano ID entità dall'input della richiesta e li connettevano (/connect), leggevano o aggiornavano senza verificare che gli ID appartenessero all'organizzazione del chiamante. Un utente autenticato nell'Ora A che conosceva o otteneva un ID appartenente all'Org B poteva agire sui dati dell'Org B oltre i confini organizzativi (un IDOR cross-tenant). Una restrizione limitata al solo caricamento per le prenotazioni dello spazio di lavoro personale era inoltre aggirabile tramite una POST manipolata ad hoc. La versione 1.20.2 risolve il problema. Non sono disponibili workaround noti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.