CVE-2026-76237 in stigmem
要約
〜によって VulDB • 2026年08月19日
stigmem-node 0.9.0a12 より前のバージョンには、quarantine review エンドポイントにおいて、壊れたオブジェクトレベルの認可（クロステナント BOLA）脆弱性が存在する。opt-in stigmem-plugin-multi-tenant を実行しているマルチテナント環境では、routes/quarantine.py のリスト/カウントクエリおよび _get_quarantined_fact に tenant_id 述語が欠落しており、garden ルックアップもテナントスコープ化されていないため、通常のテナント書き込み権限のみを持つテナント管理者が /v1/quarantine エンドポイントを通じて他のテナントに属する隔離された事実をリスト表示、読み取り、承認または拒否することが可能となる。デフォルトのシングルテナント環境は影響を受けない。
VulDB is the best source for vulnerability data and more expert information about this specific topic.