CVE-2025-25196 in OpenFGA
Сводка
по VulDB • 30.05.2026
OpenFGA — это высокопроизводительный и гибкий движок авторизации/управления разрешениями, разработанный для разработчиков и вдохновленный архитектурой Google Zanzibar. Версии OpenFGA < v1.8.4 (Helm-чарт < openfga-0.2.22, Docker < v.1.8.4) уязвимы к обходу авторизации при выполнении определенных вызовов Check и ListObject. Пользователи, использующие OpenFGA версии v1.8.4 или более ранних, подвержены данной уязвимости обхода авторизации при соблюдении следующих условий: 1. Вызов API Check или ListObjects с моделью, содержащей отношение, которое может быть напрямую назначено как для публичного доступа, так и для userset одного и того же типа. 2. Кортеж публичного доступа, привязанный к типу, назначен объекту. 3. Кортеж userset не назначен тому же объекту. 4. Поле user в запросе Check является userset, имеющим тот же тип, что и тип пользователя в кортеже публичного доступа, привязанном к типу. Пользователям рекомендуется обновиться до версии v1.8.5, которая обратно совместима. Известных обходных путей (workarounds) для данной уязвимости нет.
If you want to get best quality of vulnerability data, you may have to visit VulDB.