A deduplicação dentro da requisição do BatchCheck do OpenFGA produz decisões de autorização incorretas via colisão de chave de cache de valor de lista

A vulnerabilidade CVE-2026-34972 no OpenFGA afeta as operações BatchCheck que utilizam contexto. Especificamente, se múltiplas verificações são enviadas dentro de uma única operação BatchCheck para a mesma combinação de usuário/objeto/relação, e cada verificação inclui um contexto diferente, existe a possibilidade de aplicação incorreta das políticas. Isso pode permitir que um atacante ignore as restrições de acesso pretendidas, obtendo acesso a recursos que normalmente estariam protegidos. A severidade desta vulnerabilidade é classificada como CVSS 5.0, indicando um risco moderado. A vulnerabilidade se manifesta quando o sistema não avalia corretamente o contexto em cada verificação, levando a uma decisão de acesso incorreta.

Organizations heavily reliant on OpenFGA for access control and utilizing BatchCheck operations with context are most at risk. This includes applications with complex authorization rules and those that dynamically adjust user permissions based on contextual factors. Specifically, deployments using OpenFGA to manage access to sensitive data or critical infrastructure are particularly vulnerable.

• go / application: Examine OpenFGA logs for unusual BatchCheck requests with multiple checks for the same user/object/relation combination and differing contexts. • go / application: Monitor OpenFGA's internal metrics for anomalies in policy evaluation times or unexpected access grants. • generic web: If OpenFGA is exposed via an API, monitor API requests for patterns indicative of BatchCheck exploitation (multiple similar requests). • generic web: Review OpenFGA configuration files for any unusual settings related to context handling in BatchCheck operations.

1. 2026-04-07Disclosure

   disclosure

1. Reservado2026-03-31
2. Publicada2026-04-07
3. Modificada2026-04-08
4. EPSS atualizado2026-04-14

A solução para esta vulnerabilidade é atualizar para a versão 1.14.0 do OpenFGA ou superior. Esta versão inclui correções que abordam o problema da aplicação incorreta das políticas em operações BatchCheck com contexto. Enquanto isso, como medida de mitigação temporária, evite o uso de BatchCheck com múltiplas verificações para a mesma combinação de usuário/objeto/relação, especialmente quando se utilizam contextos diferentes. Se for necessário utilizar BatchCheck, certifique-se de que todas as verificações dentro da mesma operação tenham o mesmo contexto. Monitorar os logs do OpenFGA em busca de padrões de acesso incomuns também pode ajudar a detectar possíveis explorações.