Veille sécuritéBackend & données
P4Non déterminée
Le récupérateur FGA de auth0-ai-python ne distinguait pas correctement les contrôles d’autorisation selon l’utilisateur, la relation ou les conditions lors du filtrage des documents. Des documents refusés par Auth0 FGA pouvaient ainsi être inclus dans le contexte du modèle et utilisés dans la réponse générée ; appliquer la version corrigée indiquée par le fournisseur.
Python
IdentifiantCVE-2026-108167
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-108167
Analyse technique
Le contrôle d’accès du récupérateur ne séparait pas suffisamment les vérifications d’autorisation portant sur des utilisateurs, relations ou conditions différents.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-10T21:17:53.883Z, dans la période ; l’événement retenu est la publication de la vulnérabilité.
ImpactDivulgation potentielle de documents non autorisés dans le contexte du modèle et dans les réponses générées.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-10T21:17:53.883Z
Mise à jour2026-11-10T22:17:44.923Z
Action recommandée
Mettre à jour auth0-ai-python vers une version corrigée et vérifier les autorisations FGA avant d’inclure des documents dans le contexte du modèle.
Sources
Priorisation DFS : P4 · 1 source(s).