CVE-2026-50167

Kurrier, e-posta, takvim, kişiler ve depolama için modern, kendi sunucunuzda barındırılan bir çalışma alanıdır. 1.2.4 sürümünden önce, webhook ve kimlik kaynaklarını listeleme ve alma için Kurrier API uç noktaları, kimliği doğrulanmış API istekleri için sahiplik kontrollerini uygulamıyordu. Geçerli bir API anahtarına sahip bir saldırgan, başka bir hesabın tanımlayıcılarını kullanarak apps/worker/server/routes/api/kurrier/webhooks/[id].get.ts, apps/worker/server/routes/api/kurrier/webhooks/index.get.ts, apps/worker/server/routes/api/kurrier/identities/[id].get.ts ve apps/worker/server/routes/api/kurrier/identities/index.get.ts aracılığıyla o hesaba ait webhook ve kimlik kaynaklarını okuyabilir ve numaralandırabilirdi. Anonim istekler ve geçersiz API anahtarları reddediliyordu ve kullanıcılar arası değiştirme işlemleri engelleniyordu, ancak etkilenen GET ve listeleme işlemleri başka bir kullanıcının kaynak meta verilerini açığa çıkarabiliyordu. Bu sorun 1.2.4 sürümünde düzeltilmiştir.