Cross-Tenant Resource Cloning via Broken Object-Level Authorization in cloneTo()

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• coollabsio coolify

  • < 4.0.0-beta.464затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-34038Coolify authenticated remote command injection leading to RCE and secret exfiltration
  40В плане
• CVE-2026-34048Coolify: Missing authorization on terminal websocket bootstrap routes allows low-privileged members to execute commands on team servers
  39Наблюдать
• CVE-2026-34047Coolify: WebSocket Endpoint Access Control Flaw Leading to Remote Code Execution
  39Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-340347 июл. 2026 г. · Coolify: Host RCE via Sentinel token injection
  35Наблюдать
• ← РаньшеCVE-2026-340357 июл. 2026 г. · Coolify: Host RCE via Log Drain secret/env command injection
  35Наблюдать
• Позже →CVE-2026-340447 июл. 2026 г. · Coolify: Cross-team IDOR in logs component (resource lookup not team-scoped)
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.