CVE-2026-54136

Nome do Software Vulnerável e Versões Afetadas Windmill versões anteriores a 1.715.0

Descrição Um token de API com escopo de recurso pode ler conteúdos de scripts fora do seu escopo de caminho permitido. Isso ocorre porque o middleware de escopo no nível da rota valida o domínio e a ação do token, mas não impõe o segmento de recurso ou caminho. Especificamente, o manipulador do endpoint 'GET /api/w/{workspace}/scripts/list search' não realiza verificações de escopo adicionais ou filtragem por linha antes de retornar os campos de caminho e conteúdo do script. Um invasor que possua um token de API com escopo válido para um espaço de trabalho, como um com o escopo scripts:read:f/allowed/*, poderia acessar o código-fonte de caminhos não relacionados dentro do mesmo espaço de trabalho. Isso pode levar à divulgação de lógica de automação interna, detalhes de integração, lógica de negócios, configuração inline ou segredos e credenciais codificados. Este problema não requer privilégios de administrador.

Recomendações Atualize para a versão 1.715.0. Como medida paliativa temporária, restrinja o uso de tokens de API com escopo de recurso para o endpoint 'GET /api/w/{workspace}/scripts/list search' até que a atualização seja aplicada.