CVE-2026-80209 in Fonoster
要約
〜によって VulDB • 2026年08月27日
Fonoster 0.22.7までの`mods/identity/src/workspaces/createUpdateWorkspace.ts`にある`updateWorkspace`ハンドラは、`createIsWorkspaceMember`が呼び出し元が対象のワークスペースのメンバーではないことを報告した場合でも、gRPCコールバックを`PERMISSION_DENIED`で呼び出すものの、処理を終了（return）しません。実行は`prisma.workspace.update`へと継続し、これはワークスペース参照のみによってスコープ指定されるため、リネーム操作が2番目のコールバックが発行される前にコミットされ、呼び出し元は既に成功した書き込みに対して権限エラーを受信します。
また、`mods/common/src/identity/createAuthInterceptor.ts`のgRPCインターセプタは、ワークスペースアクセス用のアクセスキーIDを、`workspaceResourceAccess`または`workspaceResourceOwnerOrAdminAccess`内のパスに対してのみ呼び出し元のトークンにバインドしています。そして、`Identity/UpdateWorkspace`は基本USERロールが保持する`fullIdentityAccess`に含まれているため、認証済みユーザーであれば誰でもデプロイメント内の任意のワークスペースのリネームを実行できます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.