CVE-2026-123800

Nome do Software Vulnerável e Versões Afetadas SuperTokens Core versões 6.0.0 até 6.0.23 SuperTokens Core versões 7.0.0 até 7.0.22 SuperTokens Core versões 8.0.0 até 8.0.6 SuperTokens Core versões 9.0.0 até 9.0.5 SuperTokens Core versões 9.1.0 até 9.1.5 SuperTokens Core versões 9.2.0 até 9.2.6 SuperTokens Core versões 9.3.0 até 9.3.4 SuperTokens Core versões 10.0.0 até 10.0.7 SuperTokens Core versões 10.1.0 até 10.1.8 SuperTokens Core versões 11.0.0 até 11.0.8 SuperTokens Core versões 11.1.0 até 11.1.3 SuperTokens Core versões 11.2.0 até 11.2.3 SuperTokens Core versões 11.3.0 até 11.3.7 SuperTokens Core versões 11.4.0 até 11.4.7 SuperTokens Core versões 12.0.0 até 12.0.10 SuperTokens Core versões 12.1.0 até 12.1.1 SuperTokens Core versão 12.2.0 SuperTokens Core versão 12.3.0

Descrição Existe uma falha de autorização na função checkPermissionsForCreateOrUpdate() dentro da classe Multitenancy. Em implantações multi-tenant licenciadas onde várias aplicações compartilham um domínio de URI de conexão não padrão e utilizam api keys separadas, um invasor com uma chave de API válida para uma aplicação pode atualizar o domínio de URI de conexão pai. Isso ocorre porque o sistema não exige que a aplicação e o tenant de origem sejam públicos ao verificar o domínio durante operações de criação ou atualização. Consequentemente, um invasor pode substituir a chave pai e as chaves de aplicações irmãs, modificar usuários irmãos, sequestrar sessões e estabelecer persistência via usuários de painéis irmãos. Além disso, a omissão do identificador opcional nos manipuladores de criação ou atualização v2 permite que um invasor direcione o tenant base, ignorando verificações de permissão e travas de recursos empresariais para modificar firstFactors, fatores secundários obrigatórios e sinalizadores de receitas habilitadas, comprometendo a integridade e disponibilidade do login.

Recomendações Atualizar para a versão 6.0.24 Atualizar para a versão 7.0.23 Atualizar para a versão 8.0.7 Atualizar para a versão 9.0.6 Atualizar para a versão 9.1.6 Atualizar para a versão 9.2.7 Atualizar para a versão 9.3.5 Atualizar para a versão 10.0.8 Atualizar para a versão 10.1.9 Atualizar para a versão 11.0.9 Atualizar para a versão 11.1.4 Atualizar para a versão 11.2.4 Atualizar para a versão 11.3.8 Atualizar para a versão 11.4.8 Atualizar para a versão 12.0.11 Atualizar para a versão 12.1.2 Atualizar para a versão 12.2.1 Atualizar para a versão 12.3.1