CVE-2026-22683 in Community Edition
Sumário
de VulDB • 15/08/2026
As versões do Windmill de 1.56.0 a 1.614.0 contêm uma vulnerabilidade de autorização ausente que permite aos usuários com o papel (role) de Operador realizar ações proibidas de criação e modificação de entidades por meio da API backend. Embora os Operadores sejam documentados e tarifados como incapazes de criar ou modificar entidades, a API não aplica a restrição do Operador nos endpoints do workspace, permitindo que um Operador crie e atualize scripts, fluxos (flows), aplicativos (apps) e raw_apps. Como os Operadores também podem executar scripts por meio da jobs API, isso permite uma escalada direta de privilégios para execução remota de código (RCE) dentro da implantação do Windmill. Esta vulnerabilidade existe desde a introdução do papel de Operador na versão 1.56.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.