CVE-2026-76236 in stigmem
要約
〜によって VulDB • 2026年08月21日
stigmem-node 0.9.0a12 より前には、RTBF（忘れられる権利）のツンボストーンメカニズムにおいて、クロステナントなオブジェクトレベル認証の欠陥 (BOLA) が含まれています。issue_tombstone はデフォルトでテナントを "default" に設定しており、呼び出し元のテナントではなく、誤ったテナントに削除レコードが書き込まれる可能性があります。また、読み取り抑制パス（_get_tombstone_filter およびツンボストーンスコープキャッシュ）には tenant_id 述語が含まれていなかったため、事実照会やプロベナンスの参照において、ツンボストーンの抑制がテナントを無視して適用されました。その結果、あるテナントの削除が誤ったテナントに帰属されたり、他のテナントに属する事実が隠蔽されてしまったり、あるいは正しいテナント内の事実が適切に隠蔽されなかったりし、データ分離および RTBF の保証が損なわれます。この問題は、opt-in 形式の stigmem-plugin-multi-tenant を実行しているマルチテナント環境でのみ悪用可能です。シングルテナント環境には影響ありません。0.9.0a12 で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.