Fiderにテナント越えの認証回避の脆弱性、0.36.0で修正
Summary
Fiderを複数組織向けのマルチテナント構成で運用していると、別の組織のボードに不正にログインされるおそれがあります。0.36.0で修正済みのため、HOST_MODEの設定を確認し、該当すれば更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Fiderを複数組織向けのマルチテナント構成で運用していると、別の組織のボードに不正にログインされるおそれがあります。0.36.0で修正済みのため、HOST_MODEの設定を確認し、該当すれば更新してください。
Original description The description as published by the source.
Fider is a feedback portal for feature requests and suggestions. Prior to version 0.36.0, in multi-tenant mode (HOST_MODE=multi), an attacker can use an email verification key issued by Tenant A to authenticate as the same email address on Tenant B. This completely bypasses tenant isolation and allows unauthorized account takeover across tenants. Single-host deployments (HOST_MODE=single, the default) are NOT affected. This issue has been patched in version 0.36.0.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- web github.com