CVE-2026-77426

Unleash, açık kaynaklı bir özellik yönetim platformudur. 8.0.3 sürümünden önce, Unleash admin API beş adet yetkilendirme zafiyeti içermektedir. POST /api/admin/segments/strategies, hasPermission tarafından döndürülen Promise'i beklemeden (await) atayarak, kimliği doğrulanmış kullanıcıların hedef proje ve ortam için UPDATE_FEATURE_STRATEGY iznine sahip olmadan segment atamalarını değiştirmesine olanak tanır. GET /api/admin/projects/:projectId/features/:featureName/environments/:environment/variants, talep edilen özelliği projectId ile ilişkilendirmez ve bu durum projeler arası varyant yapılandırmasının ifşa edilmesine yol açar. GET .../strategies/:strategyId, proje ve özellik bağlamını doğrulamadan strategyId'yi kullanır ve bu durum projeler arası strateji yapılandırmasının ifşa edilmesine yol açar. getEnvironmentInfo, talep edilen özelliğin belirtilen projeye ait olduğunu doğrulamaz ve bu durum projeler arası ortam bilgilerinin ifşa edilmesine yol açar. PUT /:projectId/tags, özellik tanımlayıcılarının URL projesine ait olduğunu doğrulamadan kabul eder ve bu durum projeler arası etiket değişikliğine olanak tanır. Bu sorun 8.0.3 sürümünde düzeltilmiştir.