CVE-2026-76236 in stigmem
Tóm tắt
Bởi VulDB • 19/08/2026
Phiên bản stigmem-node trước 0.9.0a12 chứa một lỗ hổng BOLA (Broken Object Level Authorization - Xác thực đối tượng cấp độ bị hỏng) liên quan đến đa tenant trong cơ chế tombstone RTBF (quyền được quên). Lỗi này khiến issue_tombstone mặc định gán tenant là "default" thay vì tenant của người gọi, cho phép các bản ghi xóa được ghi vào sai tenant. Đồng thời, đường dẫn kiểm soát việc đọc (_get_tombstone_filter và bộ nhớ cache scope tombstone) thiếu vị ngữ tenant_id, do đó cơ chế ẩn tombstone được áp dụng mù quáng (tenant-blind) trên các truy vấn fact và quá trình đọc provenance. Kết quả là, hành động xóa của một tenant có thể bị quy sai cho một tenant khác; việc ẩn tombstone có thể che giấu các fact thuộc về các tenant khác hoặc không che giấu được các fact trong đúng tenant, làm suy yếu tính cô lập dữ liệu và các đảm bảo RTBF. Lỗi này chỉ khai thác được trên các triển khai đa tenant chạy plugin opt-in stigmem-plugin-multi-tenant; các triển khai đơn tenant (single-tenant) thì không bị ảnh hưởng. Đã sửa trong phiên bản 0.9.0a12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.