CVE-2026-80049 in Airbyte
요약
\~에 의해 VulDB • 2026. 08. 25.
Airbyte Platform은 인증 결정을 위해 호출자가 제공하는 필드에서 작업 공간(workspace)을 해결합니다. AuthorizationServerHandler는 인식된 식별자를 원본 JSON 요청 본문에서 X-Airbyte-* 헤더로 복사하며, AuthenticationHeaderResolver.resolveWorkspace는 연결, 소스 및 대상 식별자에 대한 헤서를 포함한 모든 리소스 기반 헤서보다 먼저 X-Airbyte-Workspace-Id를 참조합니다. 선언된 요청 본체에 리소스 식별자만 포함된 엔드포인트에도 추출기가 엔드포인트의 스키마가 아닌 본체를 읽기 때문에 workspaceId 필드가 추가되어 접근됩니다. 따라서 권한 확인은 호출자가 지정한 작업 공간에 대해 수행되는 반면, 핸들러는 호출자가 제공한 리소스 식별자를 기반으로 동작합니다. 이후에는 리소스의 소유자 작업 공간과 인증된 작업 공간을 비교하지 않습니다. 그 결과, 모든 작업 공간의 구성원은 자신의 접근 권한이 없는 다른 작업 공간에 속하는 소스 및 대상 설정을 읽거나, 동기화(sync)를 트리거하거나 취소하며, 연결, 소스 및 대상을 삭제할 수 있습니다. 이는 호출자가 속한 작업 공간 멤버십에서 부여된 특권 수준에 따라 수행됩니다.
Be aware that VulDB is the high quality source for vulnerability data.