CVE-2026-127078: OpsTree BuildPiper before 2.7.0 Authorization Bypass via project_env_id Parameter

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (VulnCheck). Не зависят от анализа CPE в NVD и обычно опережают его.

• OpsTree Solutions BuildPiper

  • до 2.7.0затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-127080OpsTree BuildPiper before 2.7.0 Container Escape via Unrestricted HostPath Volumes
  37Наблюдать
• CVE-2026-127073OpsTree BuildPiper before 2.7.0 Privilege Escalation via Additional Manifest
  37Наблюдать
• CVE-2026-127079OpsTree BuildPiper before 2.7.0 OTP Brute Force via password_reset/check_otp
  36Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-12707613 нояб. 2026 г. · OpsTree BuildPiper before 2.7.0 Broken Access Control via git_repo API
  28Наблюдать
• ← РаньшеCVE-2026-12707713 нояб. 2026 г. · OpsTree BuildPiper before 2.7.0 Authorization Bypass via Environment Creation API
  28Наблюдать
• Позже →CVE-2026-12708113 нояб. 2026 г. · OpsTree BuildPiper before 2.7.0 Authorization Bypass via Pipeline Stage project_env_id
  21Наблюдать

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.