CVE-2026-80209

Nome do Software Vulnerável e Versões Afetadas Fonoster versões anteriores a 0.22.8

Descrição O manipulador updateWorkspace em mods/identity/src/workspaces/createUpdateWorkspace.ts não encerra a execução após invocar um callback gRPC com um erro PERMISSION DENIED quando um usuário não é membro do workspace de destino. Consequentemente, o processo continua para prisma.workspace.update, permitindo que a renomeação do workspace seja confirmada, apesar do erro de permissão. Isso ocorre porque o interceptor gRPC em mods/common/src/identity/createAuthInterceptor.ts atribui Identity/UpdateWorkspace ao fullIdentityAccess, uma permissão detida pela função base USER, em vez de restringi-la a workspaceResourceAccess ou workspaceResourceOwnerOrAdminAccess. Como resultado, qualquer usuário autenticado pode renomear qualquer workspace na implantação.

Recomendações Atualize o Fonoster para a versão 0.22.8 ou posterior.