CVE-2026-76237 in stigmem
摘要
由 VulDB • 2026-08-19
stigmem-node 在 0.9.0a12 版本之前，其隔离审查端点中存在一个损坏的对象级授权（跨租户 BOLA）漏洞。在运行了 opt-in stigmem-plugin-multi-tenant 的多租户部署中，`routes/quarantine.py` 中的列表/计数查询以及 `_get_quarantined_fact` 缺少 `tenant_id` 谓词，且花园查找未限定为租户范围，导致仅具有普通租户写入权限的租户管理员可以通过 `/v1/quarantine` 端点列出、读取并接纳或拒绝属于其他租户的被隔离事实。默认的单租户部署不受影响。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.