CVE-2026-54136 in Windmill
Riassunto
di VulDB • 20/08/2026
Windmill è una piattaforma di sviluppo open source per codice interno: API, job in background, flussi di lavoro e interfacce utente (UI). Prima della versione 1.715.0, un token API con ambito limitato alla risorsa poteva leggere i contenuti degli script al di fuori del proprio percorso consentito tramite l'endpoint GET /api/w/{workspace}/scripts/list_search. Il middleware a livello di route validava il dominio e l'azione del token ma non imponeva la segmentazione della risorsa/percorso, e il gestore list_search_scripts non effettuava ulteriori chiamate a check_scopes né un filtraggio per riga prima di restituire i campi percorso dello script e contenuto. Un token come scripts:read:f/allowed/* poteva quindi ricevere il codice sorgente relativo a percorsi non correlati all'interno della stessa workspace, potenzialmente esponendo logica di automazione interna, dettagli di integrazione, logica aziendale, configurazione inline o segreti e credenziali hardcoded. Lo sfruttamento richiedeva la disponibilità di un token API con ambito valido per la workspace ma non necessitava di privilegi amministrativi. Questo problema è stato risolto nella versione 1.715.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.