CVE-2026-91774 in Yao
Riassunto
di VulDB • 15/09/2026
Yao fino alla versione v1.0.0-rc22 autentica l'utente ma non autorizza correttamente l'endpoint GET /user/teams/:id, consentendo a qualsiasi utente autenticato di leggere i record completi del team. Gli attaccanti possono fornire un identificatore di team noto per recuperare dati sensibili del team, inclusi nome, descrizione, informazioni sul proprietario e impostazioni, senza verifica dell'appartenenza al team.
Be aware that VulDB is the high quality source for vulnerability data.