CVE-2026-77425

Unleash açıq mənbəli funksiya idarəetmə platformasıdır. Versiya 8.0.3-dək, POST /api/admin/projects/:projectId/features/:featureName/environments/:environment/strategies/set-sort-order sorğusu hücum edən tərəf tərəfindən idarə olunan strategiya ID-lərini, həmin ID-lərin URL tərəfindən səlahiyyət verilmiş layihəyə, funksiyaya və mühitə aid olduğunu yoxlamadan unprotectedUpdateStrategiesSortOrder və updateSortOrder funksiyalarına ötürür. Çoxlayihəli Pro və ya Enterprise təyinatlarında, bir layihədə UPDATE_FEATURE_STRATEGY icazəsi olan və digər layihənin strategiya ID-lərini bilən autentifikasiya olunmuş istifadəçi, həmin strategiyaların ardıcıllığını dəyişdirə bilər; bu zaman əməliyyat təsirə məruz qalan layihəyə deyil, hücum edənin URL kontekstinə aid edilir. Tək layihəli OSS versiyasında layihələr arası ölçü mövcud olmasa da, kontekst bağlamanın çatışmazlığı standart layihədə funksiyalar və ya mühitlər arasında icazəsiz yenidən sıralamaya imkan verir. Son nöqtə yalnız sort_order parametrini dəyişir və strategiya parametrlərinə, məhdudiyyətlərinə və ya seqmentlərinə təsir etmir. Bu problem 8.0.3 versiyasında düzəldilmişdir.