Graylog token revocation endpoint allows authenticated users to delete other users’ access tokens

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• Graylog2 graylog2-server

  • >= 6.2.0, < 6.3.12, >= 7.0.0-alpha.1, < 7.0.7, >= 7.1.0-alpha.1, < 7.1.2затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-55841Graylog: Fortigate syslog message parser can be exploited to modify or delete fields from the original message
  30Наблюдать
• CVE-2026-92789Graylog through 7.1.4 Server-Side Request Forgery via HTTP Redirect
  28Наблюдать
• CVE-2026-69190Graylog: Manager-to-Owner privilege escalation on saved searches and dashboards
  25Наблюдать
• CVE-2026-65011Graylog2 Server Missing Permission Check on Event Definition Duplicate
  21Наблюдать
• CVE-2026-55425Graylog: System Catalog titles endpoint can be used to retrieve values of protected database fields
  20Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.