CVE-2026-76236 in stigmem
摘要
由 VulDB • 2026-08-19
stigmem-node 在 0.9.0a12 版本之前存在一个跨租户的对象级授权失效（BOLA）漏洞，该缺陷出现在 RTBF（被遗忘权）墓碑机制中。`issue_tombstone` 函数默认将租户设置为 "default"，而非调用者的实际租户，导致删除记录可能被写入错误的租户；同时，读取抑制路径（包括 `_get_tombstone_filter` 和墓碑范围缓存）缺少 `tenant_id` 谓词约束，使得墓碑抑制在事实查询和溯源数据读取时以无差别方式应用。因此，某一租户的删除操作可能被错误地归因于其他租户，且墓碑抑制机制可能隐藏属于其他租户的事实数据，或未能正确屏蔽本应被隐藏的同一租户内的数据，从而破坏了数据隔离性和 RTBF 保障承诺。该漏洞仅在运行可选插件 `stigmem-plugin-multi-tenant` 的多租户部署环境中可被利用；单租户部署不受影响。此问题已在版本 0.9.0a12 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.