CVE-2026-55867

Nome do Software Vulnerável e Versões Afetadas Graylog versões anteriores a 6.3.12 Graylog versões anteriores a 7.0.7 Graylog versões anteriores a 7.1.2

Description Existe uma referência direta a objeto insegura (IDOR) no processo de revogação de tokens. Um usuário autenticado pode excluir tokens de acesso pertencentes a outros usuários, incluindo contas de serviço e administradores, manipulando o parâmetro de caminho userId no endpoint 'DELETE /users/{userId}/tokens/{idOrToken}'. A função revokeToken() verifica a permissão USERS TOKENREMOVE em relação ao userId controlado pelo invasor antes de resolver o token via idOrToken. Como o sistema falha ao verificar se o token resolvido realmente pertence ao usuário especificado através de AccessToken.getUserName(), a função accessTokenService.destroy() exclui o token independentemente da propriedade. Embora o conteúdo dos tokens não seja exposto, isso permite a exclusão não autorizada, interrompendo integrações baseadas em tokens de acesso.

Recommendations Atualize para a versão 6.3.12 ou posterior. Atualize para a versão 7.0.7 ou posterior. Atualize para a versão 7.1.2 ou posterior.