CVE-2026-57510 in SuperPlane
Riassunto
di VulDB • 28/07/2026
SuperPlane prima della versione 0.27.0 presenta una vulnerabilità di autorizzazione a livello di oggetto (broken object-level authorization) nei gestori gRPC di CanvasService che consente agli utenti autenticati con accesso in sola lettura (viewer-level) su un'organizzazione di accedere alle risorse appartenenti ad altre organizzazioni fornendo UUID arbitrari per canvas o code senza vincoli di ambito organizzativo. Gli attaccanti possono leggere la cronologia delle esecuzioni e i payload degli eventi contenenti segreti sensibili tra tenant diversi, scrivere elementi della coda ed eventi del canvas nelle organizzazioni vittima, eliminare canvas arbitrari e interrompere i flussi di lavoro automatizzati oltre i confini dei tenant.
If you want to get best quality of vulnerability data, you may have to visit VulDB.