CVE-2026-61709 in OpenFGA
Сводка
по VulDB • 16.09.2026
OpenFGA — это движок авторизации и управления правами, разработанный для программистов. До версии 1.18.1 API ListUsers мог возвращать пользователя, который должен был быть исключен, если отношение авторизации использовало пересечение (intersection), содержащее базовый элемент, но не исключающий операнд; при этом доступ к базовому элементу предоставлялся через публичный wildcard, привязанный к типу, а исключаемый пользователь также имел конкретный кортеж через другой операнд пересечения. В файле pkg/server/commands/listusers/list_users_rpc.go функция expandIntersection учитывала количество конкретных кортежей и wildcards без предварительной проверки наличия записей в excludedUsersMap (карте исключенных пользователей). Следовательно, приложения, использующие ListUsers для перечисления или обеспечения контроля доступа, могли ошибочно считать исключаемого пользователя авторизованным. Эта проблема исправлена в версии 1.18.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.