CVE-2026-82411

Nome do Software Vulnerável e Versões Afetadas Open Object versões anteriores a 2.5.1 Open Object versões anteriores a 3.6.2 Open Object versões anteriores a 4.0.2 Open Object versões anteriores a 4.1.1

Description Existe um problema onde um token de API de não-superusuário com acesso de leitura a um único ObjectType pode acessar o registro versionado completo de objetos pertencentes a qualquer outro ObjectType. Isso ocorre através do endpoint GET /api/v2/objects/{uuid}/{index}. A ação history detail em src/objects/api/v2/views.py ignora verificações de permissão necessárias ao chamar self.get queryset() e get object or 404 em vez de self.get object(), o que impede a execução de check object permissions e da verificação ObjectTypeBasedPermission.has object permission. Consequentemente, os data de objetos versionados, que podem incluir registros sensíveis de cidadãos ou casos, podem ser expostos.

Recommendations Atualizar para a versão 2.5.1. Atualizar para a versão 3.6.2. Atualizar para a versão 4.0.2. Atualizar para a versão 4.1.1.