CVE-2026-71214

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.5%
CWE: CWE-306
KEV Durumu: Hayır

Yayım tarihi: 5 Ağustos 2026

Aerie/PlanDev sıralama-sunucusunun yetkilendirme ara yazılımı (sequencing-server/src/app.ts), getHasuraSession aracılığıyla çağırıcının Hasura oturum rolünü türeterek, istemci tarafından sağlanan JSON istek gövdesinden alınan bir session_variables nesnesini Authorization başlığının JWT iddialarından daha çok tercih eder ve isteğin gerçekten Hasura'dan geldiğinden emin olmak için hiçbir doğrulama yapmaz.

Orijinal açıklama (İngilizce)

The Aerie/PlanDev sequencing-server's authorization middleware (sequencing-server/src/app.ts) derives the caller's Hasura session role via getHasuraSession, which prefers a session_variables object taken directly from the client-supplied JSON request body over the Authorization header's JWT claims, with no verification that the request actually originated from Hasura.

Referanslar

https://github.com/NASA-AMMOS/plandev

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.