CVE-2026-71214
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W Aerie/PlanDev sequencing-server, middleware autoryzacyjny (sequencing-server/src/app.ts) wyprowadza rolę sesji Hasura wywołującego przez getHasuraSession, która preferuje obiekt session_variables pobrany bezpośrednio z treści żądania JSON dostarczonego przez klienta, zamiast roszczeń JWT z nagłówka Authorization, bez weryfikacji, czy żądanie faktycznie pochodzi od Hasury.
Ocena ryzyka
Atakujący może podszyć się pod sesję Hasura i uzyskać nieautoryzowane uprawnienia, co może prowadzić do naruszenia kontroli dostępu i dostępu do wrażliwych danych.
Rekomendacja
Należy zweryfikować pochodzenie żądania (np. przez weryfikację podpisu JWT lub zaufany nagłówek) i nie ufać session_variables dostarczanym przez klienta. Zaleca się również wymuszenie, aby rola sesji pochodziła wyłącznie z uwierzytelnionych źródeł.
Oryginalny opis (angielski, źródło NVD)
The Aerie/PlanDev sequencing-server's authorization middleware (sequencing-server/src/app.ts) derives the caller's Hasura session role via getHasuraSession, which prefers a session_variables object taken directly from the client-supplied JSON request body over the Authorization header's JWT claims, with no verification that the request actually originated from Hasura.