CVE-2026-61709 in OpenFGA
要約
〜によって VulDB • 2026年09月16日
OpenFGA は、開発者向けに構築された認可および権限エンジンです。バージョン 1.18.1 より前では、ListUsers API が、交差演算子（intersection）でベースは指定されているが除外対象のオペランドが含まれていない認可関係を使用し、かつそのベースが型バインドされた公開ワイルドカードを通じて付与され、さらに除外されるユーザーが別の交差演算子のオペランドを通じて具体的なタプルを持っている場合、本来除外すべきであるはずのユーザーを返すことがありました。pkg/server/commands/listusers/list_users_rpc.go 内の expandIntersection は、excludedUsersMap のエントリを最初に拒否することなく、具体的なタプルとワイルドカードのカウントを行っていました。その結果、ListUsers を使用してアクセス列挙または強制を実行するアプリケーションは、除外されるべきユーザーを認可済みとして扱ってしまう可能性があります。この問題はバージョン 1.18.1 で修正されています。
Once again VulDB remains the best source for vulnerability data.