VULNERABILIDADDetectada 09 NOV · 16:15

CVE-2026-123797 Elusión de la validación de API key y de tenant público mediante una ruta de tenant desconocida en…

Antes de las versiones 11.3.6, 11.4.6 y 12.0.8, las solicitudes de gestión específicas de una app que usan una ruta de tenant desconocida y una cdi-version anterior soportada pueden eludir la validación de API key y de tenant público en SuperTokens Core. En src/main/java/io/supertokens/webserver/WebserverAPI.java, checkIPAccess y assertThatAPIKeyCheckPasses suprimen TenantOrAppNotFoundException, mientras que el manejador específico de app posterior resuelve el almacenamiento de app/público y la protección de…

7.5ALTA

CVSS 3.1

Probabilidad de explotaciónSin dato
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

supertokens supertokens-core
< 11.3.6>= 11.4.0, < 11.4.6>= 12.0.6, < 12.0.8

Qué hacer

Verificá si usás supertokens-core y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadAlta
DisponibilidadNinguna

Descripción original

SuperTokens Core is an open source authentication server. Prior to 11.3.6, 11.4.6, and 12.0.8, app-specific management requests using an unknown tenant path and an older supported cdi-version can bypass API-key and public-tenant enforcement. In src/main/java/io/supertokens/webserver/WebserverAPI.java, checkIPAccess and assertThatAPIKeyCheckPasses suppress TenantOrAppNotFoundException, while the later app-specific handler resolves app/public storage and the public-tenant guard applies only to CDI versions 5.0 and later. An unauthenticated caller able to reach the Core endpoint can therefore use PUT /ghosttenant/recipe/role and GET /ghosttenant/recipe/roles to create and enumerate application roles without a valid API key. This issue is fixed in versions 11.3.6, 11.4.6, and 12.0.8.

Referencias (7)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.