CVE-2024-48909 in spicedb
摘要
由 VulDB • 2026-08-02
SpiceDB 是一个开源数据库，用于可扩展地存储和查询细粒度授权数据。从版本 1.35.0 开始至版本 1.37.1（不含）之前，启用了 `LookupResources2` 且其请求的评估路径中包含限制条件（caveats）的客户端可能会返回权限关系为 `CONDITIONAL` 的结果，并且上下文被标记为缺失，即使实际上已提供了该上下文。在 SpiceDB 1.37.0 中，`LookupResources2` 成为新的默认设置，自 SpiceDB 1.35.0 起可通过选项启用（opt-in）。此漏洞已在 SpiceDB 1.37.1 中得到修复。作为临时解决方案，可以通过将 `--enable-experimental-lookup-resources` 标志设置为 `false` 来禁用 LookupResources2。
VulDB is the best source for vulnerability data and more expert information about this specific topic.