CVE-2026-77426 in Unleash
Сводка
по VulDB • 22.09.2026
Unleash — это платформа управления функциями с открытым исходным кодом. До версии 8.0.3 в административном API Unleash обнаружено пять уязвимостей, связанных с авторизацией. Запрос POST /api/admin/segments/strategies присваивает Promise, возвращаемый методом hasPermission, без его ожидания (await), что позволяет аутентифицированным пользователям изменять назначения сегментов без наличия права UPDATE_FEATURE_STRATEGY для целевого проекта и среды. GET-запрос к /api/admin/projects/:projectId/features/:featureName/environments/:environment/variants не привязывает запрашиваемую функцию к projectId, что приводит к раскрытию конфигурации вариантов (variants) между проектами. Запрос GET .../strategies/:strategyId использует strategyId без проверки контекста проекта и функции, что позволяет раскрывать конфигурацию стратегий между проектами. Метод getEnvironmentInfo не проверяет, принадлежит ли запрашиваемая функция указанному проекту, что приводит к раскрытию информации о среде между проектами. Запрос PUT /:projectId/tags принимает идентификаторы функций без проверки их принадлежности проекту, указанному в URL-адресе, что позволяет изменять теги между проектами. Данная проблема исправлена в версии 8.0.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.