OpenFGA's BatchCheck deduplicatie binnen een request produceert incorrecte autorisatiedecisies via list-value cache-key collision

OpenFGA is een high-performance en flexibele autorisatie/permission engine gebouwd voor ontwikkelaars en geïnspireerd door Google Zanzibar. Van 1.8.0 tot 1.13.1, onder specifieke omstandigheden, kunnen BatchCheck aanroepen met meerdere checks die voor hetzelfde object, relatie en gebruikerscombinatie zijn verzonden, leiden tot onjuiste policy enforcement. Deze kwetsbaarheid is verholpen in 1.14.0.