Contournement de contrôles d’accès dans SuperTokens Core

Veille sécuritéBackend & données

P3Élevée

Dans certaines versions de SuperTokens Core, des requêtes de gestion visant un tenant inconnu avec une ancienne version CDI pouvaient contourner des contrôles de clé API et de tenant public, permettant la création et l’énumération de rôles applicatifs sans authentification. Les correctifs sont disponibles dans les versions 11.3.6, 11.4.6 et 12.0.8 selon la branche ; appliquer la version corrigée appropriée.

IdentifiantCVE-2026-123797

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif11.3.6, 11.4.6 ou 12.0.8, selon la branche

Source : NVD — CVE-2026-123797

Analyse technique

La suppression de TenantOrAppNotFoundException dans les contrôles d’accès et l’application tardive de la protection du tenant public permettaient, dans les conditions décrites, d’atteindre des handlers de gestion applicatifs.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-09 à 18:17:26.890Z, dans la période demandée ; l’événement retenu est la publication de l’information sur la vulnérabilité.

ImpactUn appelant non authentifié pouvant joindre Core pouvait créer et énumérer des rôles applicatifs sans clé API valide.

Versions affectéesAvant 11.3.6, 11.4.6 ou 12.0.8, selon la branche concernée (les branches et plages détaillées ne sont pas précisées dans les données fournies)

Version corrigée11.3.6, 11.4.6 ou 12.0.8, selon la branche

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-11-09T18:17:26.890Z

Mise à jour2026-11-09T18:17:26.890Z

Détection / vérification

Vérifier la version de SuperTokens Core et l’exposition des endpoints Core aux appels de gestion multi-tenant.

Action recommandée

Mettre à niveau SuperTokens Core vers la version corrigée correspondant à la branche utilisée et limiter l’accès réseau aux endpoints Core.

Sources

NVD — CVE-2026-123797

Priorisation DFS : P3 · 1 source(s).