CVE-2026-102596

Nome do Software Vulnerável e Versões Afetadas Nango versões anteriores a 0.70.9

Descrição Em contas com Controle de Acesso Baseado em Função (RBAC) habilitado por meio de um plano onde has rbac está definido como true, certas rotas privadas de leitura de fluxo falham ao aplicar verificações de autorização adequadas. Especificamente, os endpoints 'GET /api/v1/integrations/:providerConfigKey/flows' e 'GET /api/v1/flow/:flowName' aplicam autenticação web, mas omitem a verificação de permissão necessária can({ action: 'read', resource: 'flow', scopedBy: envScope }). Isso permite que um usuário da mesma equipe com a função development full access solicite env=prod e leia metadados de fluxo de integração de produção ou configurações de fluxo nomeadas, ignorando os limites de função de produção. O problema limita-se ao mesmo locatário e não permite a transposição de limites entre locatários.

Recomendações Atualizar para a versão 0.70.9.