CVE-2026-55867 in Graylog
Riassunto
di VulDB • 29/08/2026
Graylog è una piattaforma di gestione dei log gratuita e open source. Dalla versione 6.2.0 fino alle versioni 6.3.12, 7.0.7 e 7.1.2, l'endpoint DELETE /users/{userId}/tokens/{idOrToken}, implementato da UsersResource.revokeToken() in graylog2-server/src/main/java/org/graylog2/rest/resources/users/UsersResource.java, verifica la permission USERS_TOKENREMOVE rispetto al parametro del percorso userId controllato dall'attaccante prima di risolvere il token selezionato tramite idOrToken. Un utente autenticato può fornire un userId autorizzato mentre accessTokenService.loadById() o accessTokenService.load() risolvono un token appartenente a un altro utente, inclusi account di servizio o amministratori; successivamente, accessTokenService.destroy() elimina tale token senza verificare AccessToken.getUserName(). Il problema non espone il contenuto dei token, ma la cancellazione non autorizzata comporta impatti sull'integrità e può interrompere le integrazioni basate su token di accesso. Questo problema è risolto nelle versioni 6.3.12, 7.0.7 e 7.1.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.