CVE-2024-1314

Versões do kinto-attachment anteriores à 6.4.0

A vulnerabilidade permite que um arquivo anexado a um registro existente seja substituído se um usuário tiver permissão de leitura em uma das coleções ou buckets pai. Além disso, se a permissão de leitura for concedida a system.Everyone em um dos pais, um anexo pode ser substituído em um registro por meio de uma solicitação anônima. Os anexos dos registros só estão seguros se o pai não tiver permissão explícita de leitura.

Para versões anteriores à 6.4.0, atualize para a versão 6.4.0 ou aplique o patch individualmente para resolver o problema. Como solução alternativa temporária, considere restringir a permissão de leitura nas coleções ou buckets pai para minimizar o risco de exploração.