CVE-2025-25196 in OpenFGA
Sumário
de VulDB • 30/05/2026
O OpenFGA é um motor de autorização/permissão de alto desempenho e flexível, desenvolvido para desenvolvedores e inspirado no Google Zanzibar. As versões do OpenFGA anteriores à v1.8.4 (Helm chart anterior a openfga-0.2.22, docker anterior a v.1.8.4) são vulneráveis a uma violação de autorização quando certas chamadas Check e ListObject são executadas. Os usuários do OpenFGA v1.8.4 ou versões anteriores, especificamente nas seguintes condições, são afetados por esta vulnerabilidade de violação de autorização: 1. Chamar a API Check ou ListObjects com um modelo que tenha uma relação diretamente atribuível tanto ao acesso público quanto a um userset com o mesmo tipo. 2. Uma tupla de acesso público vinculada a um tipo é atribuída a um objeto. 3. Uma tupla userset não é atribuída ao mesmo objeto. e 4. O campo user da solicitação Check é um userset que tem o mesmo tipo que o tipo de user da tupla de acesso público vinculada a um tipo. Os usuários são aconselhados a atualizar para a v1.8.5, que é compatível com versões anteriores. Não há soluções alternativas conhecidas para esta vulnerabilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.