8.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Maxun before 0.0.42 contains a cross-tenant insecure direct object reference vulnerability in storage and webhook API handlers that allows authenticated users to access other users' robots and OAuth tokens. Attackers can read plaintext Google and Airtable access tokens, modify, delete, or execute other users' robots by bypassing ownership checks in API endpoints.
Засегнати продукти
- getmaxun maxun: преди 0.0.42; 0.0.42
Вид слабост
История
- 25 юни 2026 Публикувано
Други уязвимости в getmaxun maxun
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-56767
- https://nvd.nist.gov/vuln/detail/CVE-2026-56767
- https://github.com/getmaxun/maxun/issues/1079
- https://github.com/getmaxun/maxun/pull/1088
- https://github.com/getmaxun/maxun/commit/11db0257531f1c23dec94727793c9444ee2873cf
- https://www.vulncheck.com/advisories/maxun-cross-tenant-idor-in-storage-and-webhook-api-handlers