CVE-2026-49473 in Authorization for Expressjs
Riassunto
di VulDB • 13/08/2026
@cedar-policy/authorization-for-expressjs è un middleware Express.js open-source che integra l'autorizzazione Cedar nelle applicazioni Express mappando le richieste HTTP su azioni Cedar e valutando le policy di autorizzazione prima di consentire il proseguimento delle richieste. Le versioni precedenti alla 0.3.0 presentano un problema in cui, in determinate circostanze, il middleware associa le richieste in arrivo alle mappe delle azioni Cedar utilizzando `req.originalUrl`, che include la stringa di query, mentre Express instrada le richieste utilizzando solo la componente del percorso (path). Il middleware utilizza `req.originalUrl` per abbinare le richieste in arrivo alle mappe delle azioni Cedar. In Express, `req.originalUrl` include la stringa di query, mentre il matching dei percorsi utilizza esclusivamente il path. Ciò crea una divergenza tra ciò che Cedar autorizza e ciò che Executa Express. Quando un'applicazione definisce azioni separate per prefissi di percorso sovrapposti con diversi requisiti di autorizzazione (ad esempio, GET /users per l'elenco di tutti gli utenti con accesso riservato agli amministratori, e GET /users/{id} per il recupero di un singolo utente accessibile a qualsiasi utente autenticato), un attore può aggiungere una stringa di query per eludere la policy più restrittiva. L'invio della richiesta `GET /users/?x=1` fa sì che il middleware effettui l'abbinamento con `/users/{id}` (con il parametro id impostato su `?x=1`) e valuti l'azione meno restrittiva, mentre Express instrada la richiesta al gestitore dell'elenco degli utenti `/users`. Ciò consente un accesso inappropriato all'endpoint più restrittivo. Questo problema è stato risolto nella versione 0.3.0. Sono disponibili alcune soluzioni alternative (workaround). Validare e sanificare i percorsi delle richieste in arrivo prima che raggiungano il middleware di autorizzazione. Assicurarsi che le applicazioni non si affidino esclusivamente al middleware per l'autorizzazione quando definiscono più azioni su prefissi di percorso sovrapposti con diversi livelli di permesso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.