CVE-2026-129454

Nome do Software Vulnerável e Versões Afetadas Zr.Admin.NET versões 85cff6a through eb9228a

Description Existe uma referência direta insegura a objetos no endpoint 'GET /workflow/instance/{instanceId}'. Isso permite que usuários autenticados com baixos privilégios visualizem instâncias de fluxo de trabalho de outros usuários ao enumerar valores sequenciais de instanceId. Isso pode levar à divulgação não autorizada de solicitações de aprovação, incluindo detalhes do requerente, conteúdos de formulários enviados e registros de aprovação.

Recommendations Atualize o Zr.Admin.NET para uma versão posterior ao commit eb9228a. Como mitigação temporária, restrinja o acesso ao endpoint 'GET /workflow/instance/{instanceId}' para evitar a enumeração não autorizada da variável instanceId.