CVE-2026-57954

⚪ Do wiadomości

Brak egzekwowania @ReadPermission w Elide 7.1.17 pozwala atakującym na sortowanie po zabronionych polach.

CVSS
4.3
EPSS
0.0%
Exploit
none
Vendor
Opis źródłowy (NVD)

Elide through 7.1.17 fails to enforce @ReadPermission on client-supplied sort expressions in SortingImpl.getValidSortingRules, allowing attackers to sort collections by forbidden fields. Attackers can infer hidden field values through row ordering analysis, leaking relative field ordering across all rows via both JSON:API and GraphQL read paths.

brak Brak patcha
Źródła i daty
ŹródłoWartość
NVD – CVSS4.3
CISA KEV (aktywnie wykorzystywane)Nie
FIRST EPSS (prawdopodobieństwo exploita)0.0%
Opublikowano (NVD)2026-06-29 18:16:40 UTC
Ostatnia modyfikacja (NVD)2026-06-29 19:15:23 UTC
Referencje