CVE-2026-81505

Nome do Software Vulnerável e Versões Afetadas Convoy versões anteriores a 26.6.8

Descrição Existe um problema no endpoint GET /api/v1/projects/{projectID}/sources/{sourceID} onde o sistema autoriza o acesso ao projeto especificado na URL, mas falha ao verificar se a fonte solicitada realmente pertence a esse projeto. A função Handler.GetSource chama sources.Service.FindSourceByID(), que recupera o registro da fonte usando apenas a variável sourceID, ignorando a autorização do projeto. Consequentemente, um usuário autenticado ou um detentor de uma chave de API com escopo de projeto pode acessar o registro de fonte de qualquer outro locatário substituindo o sourceID. Isso leva à exposição de registros completos de fontes, incluindo credenciais em texto simples não redigidas para brokers AMQP, Kafka, SQS ou Google PubSub. Trata-se de um vazamento de credenciais entre locatários que afeta apenas a busca de itens únicos de fonte, enquanto o endpoint de listagem permanece corretamente limitado ao escopo do projeto.

Recomendações Atualize o Convoy para a versão 26.6.8. Como mitigação temporária, restrinja o acesso ao endpoint GET /api/v1/projects/{projectID}/sources/{sourceID} apenas a administradores confiáveis.