Défaut d’autorisation multi-tenant dans SuperTokens Core

Veille sécuritéBackend & données

P3Critique

SuperTokens Core présentait un défaut d’autorisation dans les opérations de création ou mise à jour multi-tenant, pouvant permettre à une clé API d’application d’agir sur le domaine parent ou le tenant de base. Selon le chemin exploité, cela pouvait affecter les clés et données d’applications sœurs ou modifier des paramètres d’authentification ; appliquer le correctif correspondant à la branche utilisée.

IdentifiantCVE-2026-123800

GravitéCritique

Exploitationnon connue / non déterminée

Correctif6.0.24, 7.0.23, 8.0.7, 9.0.6, 9.1.6, 9.2.7, 9.3.5, 10.0.8, 10.1.9, 11.0.9, 11.1.4, 11.2.4, 11.3.8, 11.4.8, 12.0.11, 12.1.2, 12.2.1 ou 12.3.1, selon la branche

Source : NVD — CVE-2026-123800

Analyse technique

Le contrôle d’autorisation de Multitenancy.checkPermissionsForCreateOrUpdate ne protégeait pas suffisamment certaines cibles parent et tenant de base. Les conséquences décrites pour la cible de base diffèrent de celles de la modification du domaine parent ; cette variante ne permet pas, selon les données fournies, le vol de clés.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-09 à 19:16:46.647Z, dans la période demandée ; l’événement retenu est la publication de l’information sur la vulnérabilité.

ImpactDans les déploiements multi-tenant concernés, une clé valide d’une application pouvait permettre des modifications affectant d’autres applications ; certaines opérations sur le tenant de base pouvaient altérer l’intégrité ou la disponibilité de l’authentification.

Versions affectéesDe 6.0.0 jusqu’aux versions correctives indiquées pour chaque branche ; voir les versions fixes listées

Version corrigée6.0.24, 7.0.23, 8.0.7, 9.0.6, 9.1.6, 9.2.7, 9.3.5, 10.0.8, 10.1.9, 11.0.9, 11.1.4, 11.2.4, 11.3.8, 11.4.8, 12.0.11, 12.1.2, 12.2.1 ou 12.3.1, selon la branche

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.9

Publication2026-11-09T19:16:46.647Z

Mise à jour2026-11-09T19:16:46.647Z

Détection / vérification

Contrôler la version de SuperTokens Core et l’usage du multi-tenancy sous licence avec plusieurs applications partageant un domaine de connection URI.

Action recommandée

Mettre à niveau SuperTokens Core vers la version corrective de la branche concernée ; examiner les changements de configuration, clés et comptes des applications sœurs si une exposition est suspectée.

Sources

NVD — CVE-2026-123800

Priorisation DFS : P3 · 1 source(s).