O plano contém uma falha de autorização de vários locatários na sua API de gestão de ativos que permite que usuários autenticados de um espaço de trabalho acessem, excluam ou duplicem ativos pertencentes a outro espaço de trabalho, fornecendo apenas a lima de ativos e o ID de ativos do espaço de trabalho da vítima. Os endpoints afetados retornam URLs de arquivos pré- assinados e habilitam ações destrutivas ou duplicativas sem verificar que o solicitante é membro do espaço de trabalho alvo. Isto permite a exposição de dados de locatários cruzados, a exclusão de dados e a exfiltração persistente de arquivos em um espaço de trabalho controlado pelo atacante. Registro de aconselhamento: GHSA-xgr 8 - mrxv- f 3 p 6. Identificadores relacionados: CVE- 2026 - 15342.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 21 T 18: 31: 02.000 Z e lista a sua última modificação como 2026 - 07 - 22 T 21: 31: 54.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 552. O registro contém 4 suporte de referências nestes tipos: AVISO, WEB.