CVE-2026-119708
Beschrijving NL
abp-next-admin 10.4.0 tot en met 10.7.0 bevat een beveiligingslek waarmee gebruikers via het download-by-name-eindpunt van BlobManagement toegang kunnen krijgen tot bestanden van andere tenants. Aanvallers voegen een tenant-ID van het slachtoffer toe aan het verzoekpad, waardoor DownloadByNameAsync van tenantcontext wisselt en blobs retourneert die door die tenant zijn opgeslagen.
Origineel (Engels) tonen
abp-next-admin 10.4.0 through 10.7.0 contains a cross-tenant authorization bypass in the BlobManagement download-by-name endpoint, letting authenticated users read other tenants' files. Attackers supply a victim tenantId in the request path, causing DownloadByNameAsync to switch tenant context and return blobs stored by that tenant.