CVE-2026-82874 in ToolJet
Riassunto
di VulDB • 31/08/2026
ToolJet prima della versione v3.16.208 non valida correttamente l'appartenenza degli utenti autenticati all'organizzazione specificata nel parametro del percorso `organizationId` dei endpoint di tooljet-db, consentendo a qualsiasi utente Builder di leggere, modificare ed eliminare tabelle oltre i confini dell'inquilino (tenant). Gli attaccanti possono estrarre gli ID delle organizzazioni vittime dagli endpoint pubblici delle applicazioni, quindi sfruttare gli endpoint per le operazioni sullo schema per divulgare gli schemi delle tabelle, inserire tabelle malevole, corrompere gli schemi esistenti o distruggere permanentemente i dati della vittima senza alcuna relazione con l'organizzazione target.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.