Lotus до 0.10.2: обход авторизации через switch_organization (CVE-2026-115334)

В open-source продукте Lotus, предназначенном для биллинга и монетизации SaaS-подписок, выявлена уязвимость обхода авторизации. Она позволяет аутентифицированным пользователям, прошедшим самостоятельную регистрацию, переключаться в чужие организации и получать доступ к их данным и настройкам биллинга.

Подробности

Речь идёт о продукте uselotus lotus в версиях до 0.10.2 включительно. Уязвимость локализована в методе ChangeUserOrganizationView.post и связана с некорректной проверкой прав при обработке запроса на переключение организации. По описанию CVE-ID, атакующий, прошедший самостоятельную регистрацию и знающий UUID другой организации, может отправить POST-запрос на эндпоинт /app/switch_organization/, чтобы присоединиться к этой организации. В результате он получает доступ к данным тенанта и его биллинговой конфигурации.

Уязвимость отнесена к классу authorization bypass (обход авторизации) и требует наличия действующей учётной записи. Уровень критичности — HIGH, CVSS-оценка 7.6. Для успешной эксплуатации потенциальному атакующему необходимо располагать UUID целевой организации, что снижает порог атаки в сценариях, где идентификаторы тенантов утекают или предсказуемы.

Что делать

Рекомендуется обновить Lotus до версии новее 0.10.2, в которой устранена описанная проблема, и проверить актуальность используемой сборки. До установки обновления в качестве временных мер стоит ограничить доступ к эндпоинту /app/switch_organization/ на уровне обратного прокси или WAF, а также проконтролировать журналы на предмет подозрительных POST-запросов к этому пути от учётных записей, не связанных с целевыми организациями. Дополнительно следует проверить, не попадали ли UUID организаций в публичные или открытые источники, и при необходимости провести ротацию соответствующих идентификаторов. Не лишним будет усилить мониторинг изменений состава участников организаций и настроек биллинга.

Итог: CVE-2026-115334 — значимая уязвимость обхода авторизации в Lotus, позволяющая аутентифицированным пользователям получать доступ к чужим тенантам. Основная мера защиты — оперативное обновление продукта и ограничение доступа к уязвимому эндпоинту до его установки.

Источник: CVE Project (cvelistV5)