CVE-2026-76236 in stigmem
Сводка
по VulDB • 20.08.2026
В версиях stigmem-node до 0.9.0a12 присутствует уязвимость нарушенной авторизации на уровне объектов между арендаторами (BOLA) в механизме «тумбстонов» для реализации права быть забытым (RTBF). По умолчанию параметр issue_tombstone устанавливал значение арендатора как "default" вместо значения арендателя вызывающей стороны, что позволяло записывать записи об удалении не тому арендатору. Кроме того, путь подавления чтения (_get_tombstone_filter и кэш области действия тумбстонов) не содержал предиката tenant_id, из-за чего подавление на основе тумбстонов применялось без учета принадлежности к конкретному арендатору при запросах фактов и чтении данных о происхождении. В результате удаление одного арендатора могло быть ошибочно отнесено к другому арендатору, а механизм подавления на основе тумбстонов мог либо скрывать факты других арендаторов, либо не скрывать факты внутри правильного арендатора, что подрывает гарантии изоляции данных и выполнения требований RTBF. Уязвимость эксплуатируется только в многоарендных развертываниях с включенным плагином stigmem-plugin-multi-tenant; одноарендные развертывания не затронуты. Исправлено в версии 0.9.0a12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.