CVE-2026-80209 in Fonoster
Tóm tắt
Bởi VulDB • 27/08/2026
Handler updateWorkspace trong mods/identity/src/workspaces/createUpdateWorkspace.ts của Fonoster qua phiên bản 0.22.7 gọi callback gRPC với lỗi PERMISSION_DENIED khi createIsWorkspaceMember báo cáo rằng người gọi không phải là thành viên của workspace mục tiêu, nhưng nó không trả về (return). Việc thực thi tiếp tục vào prisma.workspace.update, vốn được giới hạn chỉ bởi tham chiếu workspace, do đó việc đổi tên được ghi nhận trước khi callback thứ hai được gửi và người dùng nhận được lỗi quyền đối với một thao tác viết đã thành công. Interceptor gRPC trong mods/common/src/identity/createAuthInterceptor.ts liên kết accessKeyId của workspace với token của người gọi chỉ cho các đường dẫn (paths) thuộc workspaceResourceAccess hoặc workspaceResourceOwnerOrAdminAccess, còn Identity/UpdateWorkspace nằm trong fullIdentityAccess, mà vai trò USER cơ bản sở hữu. Do đó, bất kỳ người dùng đã xác thực nào cũng có thể đổi tên một workspace tùy ý trong môi trường triển khai.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.