CVE-2026-45297

OpenReplay özü tərəfindən host edilən sessiya təkrarlama dəstidir. 1.26.0 versiyasından əvvəl, {project_id} uyğunsuzluğu səbəbindən feature-flag və assist-stats marşrutlarında kirayəçilər arası (cross-tenant) IDOR mövcuddur. ProjectAuthorizer.__call__ (OSS api/auth/auth_project.py:14-38 və EE ee/api/auth/auth_project.py:14-46) yalnız self.project_identifier == "projectId" (camelCase) olduqda projects.is_authorized(project_id, tenant_id, user_id) + projects.get_project(tenant_id, project_id) funksiyalarını işlədir. EE çoxkirayəçili (multi-tenant) sistemdə feature-flag sorğuları yalnız project_id üzrə filtrləmə aparır, heç vaxt tenant_id istifadə etmir. Tenant A-da olan hər hansı autentifikasiya olunmuş istifadəçi ardıcıl tam ədəd olan project_id + feature_flag_id parametrlərini dəyişərək tenant B-yə məxsus feature-flag sətirlərini oxuya, yeniləyə və ya silə bilər. OSS dizayn baxımından tək kirayəçilidir (ikinci qeydiyyat zamanı {"errors":["tenants already registered"]} xətası verir), buna görə də kirayəçilər arası təsir yoxdur. Bu zəiflik 1.26.0 versiyasında aradan qaldırılıb.