CVE-2026-61709

Nome do Software Vulnerável e Versões Afetadas OpenFGA versões anteriores a 1.18.1

Description A API ListUsers poderia retornar incorretamente um usuário que deveria ter sido excluído. Isso ocorre quando uma relação de autorização usa uma interseção contendo um operando de base mas não excluído, a base é concedida por meio de um curinga público vinculado ao tipo, e o usuário excluído também possui uma tupla concreta por meio de outro operando de interseção. Na função expandIntersection() em pkg/server/commands/listusers/list users rpc.go, o sistema contou a tupla concreta e o curinga sem primeiro rejeitar as entradas no excludedUsersMap. Consequentemente, aplicações que utilizam a API ListUsers para enumerar ou impor acesso podem tratar um usuário excluído como autorizado.

Recommendations Atualize para a versão 1.18.1.