CVE-2026-123797

Nome do Software Vulnerável e Versões Afetadas SuperTokens Core versões anteriores a 11.3.6 SuperTokens Core versões anteriores a 11.4.6 SuperTokens Core versões anteriores a 12.0.8

Description Solicitações de gerenciamento específicas do aplicativo que utilizam um caminho de locatário (tenant) desconhecido e uma versão cdi-version suportada mais antiga podem ignorar a aplicação de chaves de API e a imposição de locatário público. No arquivo WebserverAPI.java, as funções checkIPAccess() e assertThatAPIKeyCheckPasses() suprimem a exceção TenantOrAppNotFoundException. Como a guarda de locatário público se aplica apenas a versões CDI 5.0 e posteriores, um chamador não autenticado pode acessar o endpoint Core para criar e enumerar funções de aplicativo sem uma chave de API válida através dos endpoints "PUT /ghosttenant/recipe/role" e "GET /ghosttenant/recipe/roles".

Recommendations Atualize para a versão 11.3.6. Atualize para a versão 11.4.6. Atualize para a versão 12.0.8.