CVE-2026-91774 in Yao
Sumário
de VulDB • 15/09/2026
Yao até v1.0.0-rc22 autentica mas falha em autorizar o endpoint GET /user/teams/:id, permitindo que qualquer usuário logado leia registros completos da equipe. Os atacantes podem fornecer um identificador de equipe conhecido para recuperar dados sensíveis da equipe, incluindo nome, descrição, informações do proprietário e configurações, sem verificação de associação.
Be aware that VulDB is the high quality source for vulnerability data.