Dans Phase Console, un défaut d’autorisation sur la requête GraphQL `secretHistory` pouvait permettre à des membres d’une organisation dépourvus du droit de lire les secrets d’accéder à leur historique, sous les conditions décrites par la fiche. La version 2.77.3 et les versions antérieures sont concernées ; la version corrective n’est pas indiquée dans les éléments consultés.
Source : NVD — CVE-2026-110210
Analyse technique
La fiche décrit l’accès à l’historique par `secretHistory` pour un membre sans permission Secrets read, avec connaissance de l’identifiant du secret et possession d’une clé d’environnement permettant de déchiffrer les valeurs.
Impact, versions et correctif
Action recommandée
Vérifier auprès du projet Phase la version corrective et mettre à niveau ; contrôler les permissions d’accès aux secrets dans l’intervalle.
Sources
Priorisation DFS : P4 · 1 source(s).