CVE-2026-81819
Təsvir
Flowintel-in təsirlənmiş versiyalarında /my_assignment/user API son nöqtəsi (endpoint) hər hansı autentifikasiya olunmuş API istifadəçisi üçün açıqdır. Son nöqtə tapşırıqları qaytarılmalı olan istifadəçini müəyyən edən user_id parametrini qəbul edir, lakin əvvəllər ümumi API autentifikasiyasından başqa heç bir rol məhdudiyyəti mövcud olmayıb. Nəticədə, aşağı imtiyazlı autentifikasiya olunmuş istifadəçi digər istifadəçinin identifikatorunu təqdim etməklə həmin istifadəçinin tapşırıq məlumatlarını sorğulaya bilərdi. Düzəliş aşağıdakı dəyişikliyi tətbiq edir: method_decorators = [api_required] bundan beləyə dəyişdirildi: method_decorators = [admin_or_org_admin_required, api_required] beləliklə, yalnız administratorlar və ya təşkilat administratorları istifadəçilərarası tapşırıq sorğularını yerinə yetirə bilərlər. Təsirə məruz qalan versiya =>3.3.0
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowintel flowintel | v ≤ 3.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.