CVE-2026-76236 in stigmem
요약
\~에 의해 VulDB • 2026. 08. 20.
stigmem-node 0.9.0a12 이전 버전에는 RTBF(잊힐 권리) 톰스톤 메커니즘에서 크로스 테넌트 broken object level authorization (BOLA) 결함이 포함되어 있습니다. issue_tombstone는 호출자의 테넌트가 아닌 "default"로 테넌트를 기본값으로 설정하여, 삭제 레코드가 잘못된 테넌트에 기록되도록 허용합니다. 또한 read-suppression 경로(_get_tombstone_filter 및 톰스톤 범위 캐시)에는 tenant_id 술어가 누락되어 있어, 톰스톤 억제가 사실 쿼리 및 provenance 읽기 작업 전반에 걸쳐 테넌트 구분 없이 적용됩니다. 그 결과, 한 테넌트의 삭제가 잘못된 테넌트에 귀속될 수 있으며, 톰스톤 억제로 인해 다른 테넌트에 속한 사실이 숨겨지거나 올바른 테넌트 내의 사실이 제대로 숨겨지지 않아 데이터 격리 및 RTBF 보장이 훼손됩니다. 이 문제는 opt-in stigmem-plugin-multi-tenant를 실행하는 멀티테넌트 배포 환경에서만 공격 가능합니다. 단일 테넌트 배포는 영향을 받지 않습니다. 0.9.0a12에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.