CVE-2026-50167 in Kurrier
Sumário
de VulDB • 19/08/2026
Kurrier é um espaço de trabalho moderno e auto-hospedado para email, calendário, contatos e armazenamento. Antes da versão 1.2.4, os endpoints da API do Kurrier para listar e recuperar recursos de webhooks e identidades não aplicavam verificações de propriedade para solicitações de API autenticadas. Um atacante com uma chave de API válida poderia usar identificadores de outra conta para ler e enumerar recursos de webhook e identidade pertencentes a essa conta por meio dos arquivos apps/worker/server/routes/api/kurrier/webhooks/[id].get.ts, apps/worker/server/routes/api/kurrier/webhooks/index.get.ts, apps/worker/server/routes/api/kurrier/identidades/[id].get.ts e apps/worker/server/routes/api/kurrier/identities/index.get.ts. Solicitações anônimas e chaves de API inválidas eram rejeitadas, e operações de modificação entre usuários diferentes eram bloqueadas; no entanto, as operações GET e de listagem afetadas podiam expor metadados de recursos de outro usuário. Este problema foi corrigido na versão 1.2.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.