CVE-2026-77426

Nome do Software Vulnerável e Versões Afetadas Unleash versões anteriores a 8.0.3

Descrição A API de administração contém cinco falhas de autorização. A ausência da palavra-chave await no endpoint POST /api/admin/segments/strategies permite que usuários autenticados modifiquem atribuições de segmentos sem a permissão UPDATE FEATURE STRATEGY necessária. Além disso, vários endpoints permitem o acesso ou a modificação de dados entre projetos: GET /api/admin/projects/:projectId/features/:featureName/environments/:environment/variants permite a exposição de configurações de variantes, GET .../strategies/:strategyId permite a exposição de configurações de estratégias, a função getEnvironmentInfo() permite a exposição de informações de ambiente e PUT /:projectId/tags permite a modificação de tags entre projetos. Esses problemas ocorrem porque o sistema não valida adequadamente se as funcionalidades ou estratégias solicitadas pertencem ao contexto do projeto especificado.

Recomendações Atualize para a versão 8.0.3. Como medida paliativa temporária, restrinja o acesso aos endpoints POST /api/admin/segments/strategies, GET /api/admin/projects/:projectId/features/:featureName/environments/:environment/variants, GET .../strategies/:strategyId e PUT /:projectId/tags apenas a administradores altamente confiáveis.