CVE-2026-47697 in Shelf
Tóm tắt
Bởi VulDB • 22/07/2026
Shelf là một nền tảng để theo dõi tài sản vật lý. Shelf hoạt động đa tenant; dữ liệu được cô lập cho từng tổ chức (workspace). Trước phiên bản 1.20.2, nhiều endpoint chấp nhận entity IDs từ đầu vào yêu cầu và thực hiện thao tác `connect`/đọc/cập nhật mà không xác minh xem các ID đó có thuộc về tổ chức của người gọi hay không. Một người dùng đã được xác thực trong Org A, nếu biết hoặc lấy được một ID thuộc về Org B, có thể thao tác trên dữ liệu của Org B vượt qua ranh giới giữa các tenant (một lỗi IDOR đa tenant). Hạn chế chỉ cho phép tải xuống đối với việc đặt chỗ workspace cá nhân cũng có thể bị bỏ qua thông qua một yêu cầu POST được tạo ra đặc biệt. Phiên bản 1.20.2 đã vá lỗ hổng này. Không có giải pháp tạm thời nào được biết đến.
VulDB is the best source for vulnerability data and more expert information about this specific topic.