CVE-2026-118685

ToolJet przed wersją v3.16.208 nie weryfikuje, czy uwierzytelnieni użytkownicy należą do organizacji wskazanej w parametrze organizationId w endpointach tooljet-db. Pozwala to każdemu użytkownikowi z rolą Builder na odczyt, modyfikację i usuwanie tabel w innych organizacjach. Atakujący mogą wyciągnąć identyfikatory organizacji z publicznych endpointów aplikacji, a następnie wykorzystać endpointy operacji na schematach do ujawnienia schematów, tworzenia złośliwych tabel, uszkadzania schematów lub trwałego usuwania danych.

ToolJet przed wersją v3.16.208 nie weryfikuje, czy parametr organizationId w ścieżce odpowiada obszarowi roboczemu uwierzytelnionego użytkownika przed wykonaniem operacji na tabelach ToolJet DB. Administrator obszaru roboczego może tworzyć, przeglądać i usuwać tabele w innym obszarze roboczym, podmieniając parametr organizationId w żądaniach API zarządzania tabelami.

ToolJet przed wersją v3.16.208 nie weryfikuje własności organizationId w trasach zapisu i niszczenia bazy danych, co pozwala każdemu użytkownikowi z rolą builder na tworzenie, modyfikowanie lub usuwanie tabel w bazach danych innych organizacji. Atakujący mogą wykorzystać brak zabezpieczeń do trwałego usuwania tabel, wstawiania dowolnych danych i modyfikowania schematów w obrębie współdzielonych instancji.

W ToolJet przed wersją 3.20.178-lts, uwierzytelniony użytkownik z rolą budowniczego (darmowy poziom) mógł nadpisać globalnie udostępniony plugin rynku dowolnym kodem JavaScript, który wykonywał się po stronie serwera z pełnym dostępem do Node.js. Złośliwy kod uruchamiał się za każdym razem, gdy jakikolwiek użytkownik na instancji wywoływał zapytanie przy użyciu tego pluginu, co prowadziło do zdalnego wykonania kodu (RCE) oraz kompromitacji łańcucha dostaw całej instalacji ToolJet.

ToolJet przed wersją v3.16.208 zawiera podatność na obejście autoryzacji w kontrolerach TooljetDB, które akceptują organizationId z ścieżki URL bez weryfikacji, czy odpowiada ono obszarowi roboczemu uwierzytelnionego użytkownika. Uwierzytelnieni użytkownicy mogą wyliczać, tworzyć, zmieniać nazwy i usuwać tabele TooljetDB w dowolnym innym obszarze roboczym, manipulując parametrem organizationId w żądaniach.

ToolJet do wersji 3.0.0-ee-beta.2 zawiera podatności na obejście autoryzacji w punkcie końcowym POST /api/v2/resources/export, które pozwalają uwierzytelnionym użytkownikom na ujawnienie schematów tabel TooljetDB poza granicami obszarów roboczych oraz eksport definicji aplikacji poza granice uprawnień. Atakujący mogą podać parametr organization_id w treści żądania, aby uzyskać dostęp do schematów z innych obszarów roboczych lub ominąć bramki autoryzacji per aplikacja, aby eksportować ograniczone definicje aplikacji w swoim obszarze roboczym.

ToolJet przed wersją v3.16.208 nie weryfikuje przynależności do organizacji w trasach odczytu bazy danych, co pozwala każdemu uwierzytelnionemu użytkownikowi na dostęp do schematów tabel i danych wierszy innych organizacji. Atakujący mogą podawać dowolne identyfikatory organizacji w parametrach URL, aby wyświetlić listę tabel, pobrać definicje kolumn i wykonać zapytania łączące w celu odczytania rzeczywistych danych ofiar.

ToolJet, platforma do budowania narzędzi wewnętrznych, przed wersją 3.20.207 zawiera podatność w API bazy danych ToolJet, która autoryzuje operacje na podstawie wartości :organizationId w URL bez weryfikacji, czy wywołujący należy do tej organizacji. Uwierzytelniony użytkownik może ustawić nagłówek tj-workspace-id na własny workspace i celować w inny workspace, co umożliwia ujawnienie nazw tabel, schematów i wierszy oraz tworzenie, modyfikowanie, masowe wypełnianie lub usuwanie tabel między tenantami. Problem naprawiono w wersji 3.20.207-lts.

Podatność w ToolJet przed wersją 3.20.180 pozwala na wstrzyknięcie poleceń powłoki przez komentarz w pull requeście. CI runner wykonuje kod z komentarza, co umożliwia kradzież sekretów wdrożeniowych.

W ToolJet w wersji 1.6.0 wykryto podatność na ataki typu cross-site scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript lub HTML do komponentu Comment Body.