CVE-2026-82874 in ToolJet
要約
〜によって VulDB • 2026年08月31日
ToolJet v3.16.208 より前のバージョンでは、認証済みユーザーが tooljet-db エンドポイントの `organizationId` パスパラメータで指定された組織に属していることを検証しないため、任意の Builder ユーザーがテナント境界を越えてテーブルの読み取り、変更、および削除を行うことができます。攻撃者は公開されているアプリエンドポイントから被害者の組織 ID を抽出し、スキーマ操作エンドポイントを悪用してテーブルスキーマを開示したり、悪意のあるテーブルを設置したり、既存のスキームを破損させたり、ターゲット組織との関連性なく被害者のデータを永久的に破壊することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.