CVE-2026-110773 Falta de autorización en el endpoint /users/all-users de GrowChief

Qué es CVE-2026-110773

GrowChief hasta 0.3.0 contiene una vulnerabilidad de autorización faltante en el manejador getAllUsers que permite a cualquier usuario autenticado listar usuarios de todas las organizaciones porque falta la verificación IsSuperAdmin. Atacantes con una cuenta de bajos privilegios autorregistrada pueden enviar un valor de búsqueda vacío o corto a GET /users/all-users para enumerar identificadores de usuario, correos, nombres e identificadores de organización de todos los inquilinos.

Productos y versiones afectadas

• growchief

  • hasta 0.3.0

Qué hacer

1. Verificá si usás growchief y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Baja

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

GrowChief through 0.3.0 contains a missing authorization vulnerability in the getAllUsers handler that allows any authenticated user to list users across all organizations because the IsSuperAdmin guard is absent. Attackers with a self-registered low-privilege account can send an empty or short search value to GET /users/all-users to enumerate user ids, emails, names and organization IDs of every tenant.

Referencias

• hackmd.io/@hieuPenguinnn/growchief-all-users-missing-authz-cross-tenant-disclosureTECHNICAL-DESCRIPTION · EXPLOIT
• github.com/growchief/growchief/blob/abb1e37a6f5595d8d105aef5871a2eeb0c22a1dc/apps/backend…TECHNICAL-DESCRIPTION
• github.com/growchief/growchiefPRODUCT
• www.vulncheck.com/advisories/growchief-through-0.3.0-missing-authorization-via-users-all-…THIRD-PARTY-ADVISORY

Historial de la alerta

1. 14 OCT · 17:13VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.