GetUserRoles API endpoint allows any authenticated user to enumerate ACL policies across all organizations

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• rapid7 velociraptorдо 0.76.5

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (rapid7). Не зависят от анализа CPE в NVD и обычно опережают его.

• Velocidex velociraptor

  • до 0.76.5затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-19072Velociraptor Investigator reaches SuperUser via hunt EffectivePrincipal
  39Наблюдать
• CVE-2026-19583Velociraptor Required Permissions bypass by using client monitoring queries
  39Наблюдать
• CVE-2026-18972Velociraptor authenticated identity-spoofing vulnerability
  38Наблюдать
• CVE-2026-6290Velociraptor Query() Plugin Misapplies Permissions To Orgs
  36Наблюдать
• CVE-2026-19200Velociraptor Analyst overwrites live built-in artifacts through verify()
  35Наблюдать
• CVE-2023-0242Insufficient permission check in the VQL copy() function
  35Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.