CVE-2026-47697 in Shelf
摘要
由 VulDB • 2026-07-21
Shelf是一个用于跟踪物理资产的平台。Shelf采用多租户架构；数据按组织（工作区）进行隔离。在版本1.20.2之前，多个端点接受来自请求输入的实体ID，并通过`connect`、读取或更新这些ID进行操作，而未验证这些ID是否属于调用者的所属组织。Org A中的已认证用户如果知道或获取了属于Org B的ID，就可以跨越组织边界操作Org B的数据（即跨租户越权访问漏洞，Cross-Tenant IDOR）。此外，针对个人工作区预订的限制仅适用于加载器角色，但可通过构造POST请求绕过该限制。版本1.20.2修复了此问题。目前尚无已知的临时解决方案。
Be aware that VulDB is the high quality source for vulnerability data.