„`html
Zusammenfassung
Die Schwachstelle CVE-2026-37171 betrifft SuperTokens Core in den Versionen 6.0.0 bis 11.4.0 und ermöglicht es authentifizierten Benutzern eines Mandanten (Tenant), auf Sessions, Daten und Endpoints eines anderen Mandanten zuzugreifen. Dies stellt eine kritische Verletzung der Mandantentrennung dar und gefährdet die Isolation von Multi-Tenant-Umgebungen.
Betroffene Systeme
Betroffen sind SuperTokens Core Installationen in folgenden Versionen:
- Version 6.0.0 bis einschließlich 11.4.0
- Alle Implementierungen mit Multi-Tenant-Konfiguration
- Deployments mit mehreren isolierten Kundenumgebungen
Der Angriffsvektor ist netzwerkbasiert und erfordert eine gültige Authentifizierung innerhalb des Systems.
Technische Details
Die Vulnerability resultiert aus unzureichenden Validierungsmechanismen bei der Überprüfung von Mandanten-Identifiern. Authentifizierte Benutzer können durch Manipulation von Session-Tokens oder API-Anfragen auf Ressourcen anderer Mandanten zugreifen. Dies umfasst:
- Unauthorized Session Access: Zugriff auf aktive Sessions anderer Tenants
- Data Exposure: Abfrage und Extraktion von Benutzerdaten fremder Mandanten
- Endpoint Traversal: Direkter Zugriff auf geschützte Endpoints anderer Tenants
Der CVSS-Score von 5.9 klassifiziert dies als Medium-Severity-Vulnerability mit moderatem Schädigungspotential.
Empfohlene Massnahmen
- Sofortige Massnahmen: Überprüfung der SuperTokens Core-Version in bestehenden Deployments
- Mitigation: Implementierung zusätzlicher Tenant-Validierungen auf Applikationsebene
- Monitoring: Audit-Logs auf verdächtige Cross-Tenant-Zugriffe überprüfen
- Isolationsverbesserung: Netzwerk-basierte Segmentierung zwischen Tenant-Umgebungen
- Update: Warten auf verfügbaren Patch und zeitnahe Installation
Bewertung
Diese Schwachstelle hat erhebliche Auswirkungen auf Multi-Tenant-Systeme, da die Kernfunktion der Mandantentrennung kompromittiert ist. Besonders kritisch für SaaS-Anwendungen und Cloud-Services. Trotz fehlenden Patches sollten Organisationen schnellstmöglich Risikominderungsmassnahmen implementieren und den Herausgeber für Updates kontaktieren.
„`