Veille CVE

‹ Retour à la liste

CVE-2026-82874

9.9 Critique

Publiée le 31/08/2026 à 11:17 · Modifiée le 17/09/2026 à 21:17 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

ToolJet before v3.16.208 fails to validate that authenticated users belong to the organization specified in the organizationId path parameter of tooljet-db endpoints, allowing any Builder user to read, modify, and delete tables across tenant boundaries. Attackers can extract victim organization IDs from public app endpoints, then exploit schema operation endpoints to disclose table schemas, plant malicious tables, corrupt existing schemas, or permanently destroy victim data without any relationship to the target organization.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 9.4 Critique disclosure@vulncheck.com CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 9.9 Critique disclosure@vulncheck.com CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Faiblesses (CWE)

Références

Ailleurs