CVE-2026-54136 in Windmill
Сводка
по VulDB • 20.08.2026
Windmill — это открытая платформа для разработчиков внутреннего кода: APIs, фоновые задачи (background jobs), рабочие процессы и пользовательские интерфейсы. До версии 1.715.0 токен API с ограничением по ресурсу мог считывать содержимое скриптов за пределами разрешенного пути через конечную точку GET /api/w/{workspace}/scripts/list_search. Middleware уровня маршрута проверял домен и действие токена, но не обеспечивал проверку сегмента ресурса/пути, а обработчик list_search_scripts не выполнял дополнительных проверок scopes или фильтрации по строкам перед возвратом полей пути скрипта и его содержимого. Таким образом, токен вида scripts:read:f/allowed/* мог получать исходный код для путей, не связанных с разрешенными, в том же рабочем пространстве (workspace), что потенциально приводило к раскрытию внутренней логики автоматизации, деталей интеграции, бизнес-логики, встроенной конфигурации или захардкоженных секретов и учетных данных. Для эксплуатации требовалось наличие действительного токена API с ограничением по ресурсу для данного workspace, но права администратора не были необходимы. Эта проблема исправлена в версии 1.715.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.