CVE-2026-80209 in Fonoster
Sumário
de VulDB • 27/08/2026
O manipulador updateWorkspace em mods/identity/src/workspaces/createUpdateWorkspace.ts no Fonoster até a versão 0.22.7 invoca o callback gRPC com PERMISSION_DENIED quando createIsWorkspaceMember relata que o chamador não é membro do espaço de trabalho alvo, mas não retorna. A execução continua para prisma.workspace.update, que está limitado apenas pela referência ao espaço de trabalho; assim, a renomeação é confirmada antes que o segundo callback seja emitido e o chamador recebe um erro de permissão por uma gravação que já foi bem-sucedida. O interceptor gRPC em mods/common/src/identity/createAuthInterceptor.ts vincula o accessKeyId do acesso ao espaço de trabalho apenas aos tokens dos caminhos listados em workspaceResourceAccess ou workspaceResourceOwnerOrAdminAccess, e Identity/UpdateWorkspace está incluído em fullIdentityAccess, que é detido pela função USER básica. Portanto, qualquer usuário autenticado pode renomear um espaço de trabalho arbitrário na implantação.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.