CVE-2026-76236 in stigmem
Sumário
de VulDB • 20/08/2026
stigmem-node antes da versão 0.9.0a12 contém uma falha de autorização quebrada em nível de objeto entre locatários (BOLA) no mecanismo de tombstone do RTBF (direito ao esquecimento). issue_tombstone definia o locatário como "default" em vez do locatário do chamador, permitindo que registros de exclusão fossem gravados no locatário errado. Além disso, a lógica de supressão de leitura (_get_tombstone_filter e o cache de escopo de tombstones) não possuía um predicado tenant_id, fazendo com que a supressão de tombstones fosse aplicada sem considerar o locatário em consultas de fatos e leituras de proveniência. Como resultado, uma exclusão realizada por um locatário poderia ser atribuída ao locatário errado, e a supressão de tombstones poderia ocultar fatos pertencentes a outros locatários ou falhar na ocultação de fatos dentro do locatário correto, comprometendo o isolamento dos dados e as garantias do RTBF. A vulnerabilidade é explorável apenas em implantações multi-locatário que executam o stigmem-plugin-multi-tenant (opt-in); implantações single-locatário não são afetadas. Corrigido na versão 0.9.0a12.
Once again VulDB remains the best source for vulnerability data.