DUPIN Alertas · IgnisDahttps://alertas.dupin.com.ar/fabricante/ignisda/Alertas de vulnerabilidades de IgnisDa.esFri, 06 Nov 2026 22:44:06 +000010Vulnerabilidad: CVE-2026-77442 · IDOR entre inquilinos en Ryot por integrationId sin verificación de propiedadhttps://alertas.dupin.com.ar/cve/CVE-2026-77442/tg:63808Fri, 06 Nov 2026 22:44:06 +0000VulnerabilidadLa mutación GraphQL createOrUpdateUserIntegration permite a un usuario autenticado de bajo privilegio enviar el integrationId de otro usuario sin verificación de propiedad. SeaORM trata la clave primaria como objetivo de actualización y la operación asigna el user_id del llamador y reemplaza provider_specifics y otra configuración, permitiendo transferir la propiedad, sobrescribir la configuración o deshabilitar la integración de la víctima. Requiere conocer el id de integración de la víctima. Corregido en la…Vulnerabilidad: CVE-2026-119800 · Lectura de colecciones entre inquilinos en Ryot vía collectionContentshttps://alertas.dupin.com.ar/cve/CVE-2026-119800/tg:63807Fri, 06 Nov 2026 22:44:05 +0000VulnerabilidadLa consulta GraphQL collectionContents acepta un CollectionContentsInput.collection_id controlado por el llamador y devuelve la colección sin verificar que el usuario autenticado sea dueño, colaborador o tenga permiso de verla. Cualquier usuario autenticado que obtenga el id de otra colección puede leer la identidad del dueño, el nombre y la descripción, las reseñas y la lista completa de elementos. Corregido en la versión 10.5.6.