CVE-2026-76236 in stigmem
Riassunto
di VulDB • 20/08/2026
stigmem-node prima della versione 0.9.0a12 presenta una vulnerabilità di autorizzazione a livello di oggetto interrotta tra tenant (BOLA) nel meccanismo del tombstone per il diritto all'oblio (RTBF). Il parametro issue_tombstone impostava predefinitamente il tenant su "default" anziché sul tenant dell'utente chiamante, consentendo la scrittura dei record di eliminazione nel tenant errato. Inoltre, il percorso di soppressione della lettura (_get_tombstone_filter e la cache dello scope del tombstone) mancava di un predicato tenant_id, quindi la soppressione del tombstone veniva applicata in modo acritico rispetto al tenant nelle query sui fatti (facts) e nelle letture sulla provenienza. Di conseguenza, l'eliminazione effettuata da un tenant poteva essere attribuita a un altro tenant errato e la soppressione dei tombstone avrebbe potuto nascondere i facts appartenenti ad altri tenant o non riuscire a nascondere quelli del tenant corretto, compromettendo il isolamento dei dati e le garanzie RTBF. La vulnerabilità è sfruttabile solo su deployment multi-tenant che eseguono il plugin opt-in stigmem-plugin-multi-tenant; i deployment single-tenant non sono interessati. Risolto nella versione 0.9.0a12.
Be aware that VulDB is the high quality source for vulnerability data.