Veille CVE

‹ Retour à la liste

CVE-2026-71459

5.0 Moyenne

Publiée le 23/09/2026 à 21:19 · Modifiée le 25/09/2026 à 20:17 · En attente d'analyse NVD · Source : secalert@redhat.com

Description

JobJobEventsChildrenSummary view has no model/parent_model. ModelAccessPermission.check_get_permissions() falls through (returns True) for any authenticated user. The view uses raw get_object_or_404(Job, pk) without DRF object-level permission check. Zero-privilege user reads event tree structure, event_processing_finished status, and enumerates Job IDs platform-wide via 200/404 oracle. Sibling endpoint /jobs/{id}/job_events/ correctly returns 403.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
3.1 5.0 Moyenne secalert@redhat.com CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Faiblesses (CWE)

Références

Ailleurs