CVE-2026-80049

Airbyte Platform avtorizasiya qərarı üçün istifadə olunan iş sahəsini (workspace) çağıranın təqdim etdiyi sahədən müəyyən edir. AuthorizationServerHandler tanınmış identifikatorları xam JSON sorğu gövdəsindən X-Airbyte-* başlıqlarına kopyalayır və AuthenticationHeaderResolver.resolveWorkspace hər bir resursdan törəyən başlıqdan (o cümlədən bağlantı, mənbə və təyinat identifikatorları üçün olanlardan) əvvəl X-Airbyte-Workspace-Id başlığına müraciət edir. Bəyan edilmiş sorğu gövdələri yalnız resurs identifikatoru daşıyan son nöqtələrə (endpoints), çıxarıcı (extractor) son nöqtənin sxemini deyil, gövdəni oxuduğu üçün əlavə olunmuş workspaceId sahəsi ilə daxil olunur; beləliklə, icazə yoxlaması çağıranın təyin etdiyi iş sahəsinə görə həyata keçirilirken, idarəedici (handler) çağıranın təqdim etdiyi resurs identifikatoruna əsasən fəaliyyət göstərir. Sonradan heç bir proses resursa sahib olan iş sahəsi ilə avtorizasiya edilmiş iş sahəsini müqayisə etmir. Buna görə də, istənilən iş sahəsinin üzvü öz iş sahəsi üzvlüyünün onlara verdiyi imtiyaz səviyyəsindən asılı olmayaraq, giriş hüququ olmayan iş sahələrinə aid mənbə və təyinat konfiqurasiyalarını oxuya, sinxronizasiyaları başlada və ləğv edə, həmçinin bağlantıları, mənbələri və təyinatları silə bilər.