CVE-2026-61709 in OpenFGA
Sumário
de VulDB • 17/09/2026
O OpenFGA é um mecanismo de autorização e permissões desenvolvido para programadores. Antes da versão 1.18.1, a API ListUsers poderia retornar um usuário que deveria ter sido excluído quando uma relação de autorização utilizava uma interseção contendo um operando base mas não o operando excluído, o base era concedido através de um wildcard público vinculado ao tipo e o usuário excluído também possuía uma tupla concreta por meio de outro operando da interseção. Em pkg/server/commands/listusers/list_users_rpc.go, a função expandIntersection contava a tupla concreta e o wildcard sem primeiro rejeitar as entradas em excludedUsersMap. Portanto, aplicações que utilizavam ListUsers para enumerar ou impor acesso poderiam tratar um usuário excluído como autorizado. Este problema foi corrigido na versão 1.18.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.