CVE-2026-30233

Nome do Software Vulnerável e Versões Afetadas Versões do OliveTin anteriores à 3000.11.1

Descrição O OliveTin possui um problema de autorização no qual usuários autenticados com permissões insuficientes (view: false) podem acessar metadados relacionados a ações através do dashboard e endpoints da API. Especificamente, o backend não impõe corretamente as permissões de visualização ao gerar respostas para informações do dashboard e de vinculação de ações. Isso permite que usuários restritos recuperem detalhes como títulos de ações, IDs, ícones e metadados de argumentos, mesmo que não estejam autorizados a executar essas ações. Os endpoints da API vulneráveis incluem '/api/GetDashboard' e '/api/GetActionBinding'. O parâmetro vulnerável é bindingId no endpoint '/api/GetActionBinding'. O problema decorre de uma falha ao impor a função IsAllowedView() ao construir essas respostas.

Recomendações Atualize o OliveTin para a versão 3000.11.1 ou posterior.