CVE-2026-63396：Coop 未授權 GraphQL 查詢導致資料外洩

Coop 是 ROOST 的一款開源審核與審查工具。在 1.0.0 之前，未經身份驗證的使用者可以透過 `/api/v1/graphql` 在公開可存取的部署上查詢 `Query.allOrgs`，並取得所有組織的資料，包括組織 ID、名稱、電子郵件地址、網站 URL 以及值班警報電子郵件地址。`usersWhoCanReviewEveryQueue` 欄位也會公開審查使用者的 ID、電子郵件地址、姓名、角色、許可權及建立日期。將服務執行於需要身份驗證的私有網路，可防止外部使用者直接查詢 GraphQL API。此問題已於 1.0.0 版修復。

影響

受影響產品

以下產品受 CVE-2026-63396 漏洞影響。即使 cvefeed.io 知道受影響產品的確切版本，該資訊並未在下表中呈現。

尚未記錄受影響產品

以下為「共同漏洞評分系統」的說明：此係統為標準化框架，用於評估軟體與系統漏洞的嚴重性。我們會從多個來源收集並顯示每個 CVE 的 CVSS 分數。

分數	版本	嚴重度	向量	可利用性分數	影響分數	來源
	CVSS 4.0	高				[email protected]

更新 Coop 至 1.0.0 或以上版本以修復資訊洩露。

更新 Coop 至 1.0.0 或以上版本。
限制 API 存取僅允許已驗證使用者。
將服務執行於需要身份驗證的私有網路。

以下列出經篩選的外部連結，提供關於 CVE-2026-63396 的深入資訊、實用解決方案與有價值工具。

網址	資源
https://github.com/roostorg/coop/commit/b29242f12f5acca0ac26116c30be9da77c15d93c
https://github.com/roostorg/coop/pull/699
https://github.com/roostorg/coop/releases/tag/1.0.0
https://github.com/roostorg/coop/security/advisories/GHSA-gv85-m34f-27g4

CVE 針對特定漏洞例項，而 CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-63396 與以下 CWE 相關：

Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，描述對手為利用 CVE-2026-63396 弱點所採用的常見特徵與方法。

我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表為已在 GitHub 釋出的公開漏洞與概念驗證集合（按最近更新時間排序）。

結果僅限前 15 個倉庫，因為可能造成效能問題。

以下列表為在文章中提及 CVE-2026-63396 漏洞的新聞。

以下表格列出隨時間變更的 CVE-2026-63396 漏洞。

漏洞歷史細節有助於瞭解漏洞的演變以及辨識可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。

新 CVE 已收到由 [email protected]

十月. 30, 2026

操作	型別	新值
新增	說明	Coop 是 ROOST 發布的開源審核與調節工具。在 1.0.0 之前，未經身份驗證的使用者可以透過 `/api/v1/graphql` 在公開可存取的部署上查詢 `Query.allOrgs`，並取得所有組織的資料，包括組織 ID、名稱、電子郵件地址、網站 URL 以及值班警示電子郵件地址。`usersWhoCanReviewEveryQueue` 欄位亦會公開審核使用者的 ID、電子郵件地址、姓名、角色、許可權及建立日期。將服務執行於已驗證的私有網路可防止外部使用者直接查詢 GraphQL API。此問題已於 1.0.0 版本修復。
新增	CVSS V4.0	AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
新增	CWE	CWE-306
新增	受影響	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/63xxx/CVE-2026-63396.json">CVE-2026-63396</a>
新增	參考	https://github.com/roostorg/coop/commit/b29242f12f5acca0ac26116c30be9da77c15d93c
新增	參考	https://github.com/roostorg/coop/pull/699
新增	參考	https://github.com/roostorg/coop/releases/tag/1.0.0
新增	參考	https://github.com/roostorg/coop/security/advisories/GHSA-gv85-m34f-27g4

EPSS 是每日估算在未來 30 天內觀測到利用活動的機率。以下圖表顯示此漏洞的 EPSS 分數歷史。

CVE-2026-63396：Coop 未授權 GraphQL 查詢導致資料外洩

受影響產品

新 CVE 已收到 由 [email protected]

新 CVE 已收到由 [email protected]