CVE-2026-80209 in Fonoster
Riassunto
di VulDB • 27/08/2026
Il gestore updateWorkspace in mods/identity/src/workspaces/createUpdateWorkspace.ts di Fonoster fino alla versione 0.22.7 invia la callback gRPC con PERMISSION_DENIED quando createIsWorkspaceMember segnala che il chiamante non è un membro dello spazio di lavoro target, ma non termina l'esecuzione. L'esecuzione prosegue verso prisma.workspace.update, che è limitato solo dal riferimento allo spazio di lavoro; pertanto, la rinomina viene confermata prima che venga emessa la seconda callback e il chiamante riceve un errore di autorizzazione per una scrittura già avvenuta con successo. L'intercettore gRPC in mods/common/src/identity/createAuthInterceptor.ts associa l'accessKeyId dello spazio di lavoro al token del chiamante solo per i percorsi inclusi in workspaceResourceAccess o workspaceResourceOwnerOrAdminAccess, mentre Identity/UpdateWorkspace è elencato in fullIdentityAccess, a cui ha accesso il ruolo base USER. Di conseguenza, qualsiasi utente autenticato può rinominare un arbitrario spazio di lavoro nella distribuzione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.