CVE-2026-77425 in Unleash
Сводка
по VulDB • 22.09.2026
Unleash — это платформа управления функциями с открытым исходным кодом. До версии 8.0.3 конечная точка POST /api/admin/projects/:projectId/features/:featureName/environments/:environment/strategies/set-sort-order передает управляемые злоумышленником идентификаторы стратегий в функции unprotectedUpdateStrategiesSortOrder и updateSortOrder без проверки того, принадлежат ли эти идентификаторы проекту, функции и среде, авторизованным через URL. В многопроектных развертываниях версий Pro или Enterprise аутентифицированный пользователь с правом UPDATE_FEATURE_STRATEGY в одном проекте, знающий идентификаторы стратегий другого проекта, может изменять порядок этих стратегий, тем самым меняя приоритет оценки функций; при этом операция атрибутируется контексту URL злоумышленника, а не затронутого проекта. Однопроектная версия OSS лишена кросс-проектного измерения, однако отсутствие привязки контекста все равно позволяет несанкционированный переставлять порядок стратегий между функциями или средами в проекте по умолчанию. Конечная точка изменяет только параметр sort_order и не модифицирует параметры стратегии, ограничения (constraints) или сегменты. Эта проблема исправлена в версии 8.0.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.