یک آسیب‌پذیری امنیتی با شناسه CVE-2026-101033 در نرم‌افزار KitchenOwl (نسخه‌های تا 0.7.10) شناسایی شده است که منجر به نقض جداسازی داده‌ها (Isolation) بین کاربران می‌شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در بخش عملیات مربوط به هزینه‌ها (Expense) و آیتم‌ها (Item) رخ می‌دهد. سیستم در این بخش‌ها قادر نیست تأیید کند که شناسه دسته‌بندی (Category ID) مورد درخواست، واقعاً متعلق به خانوار کاربر درخواست‌کننده است یا خیر.
سناریوی حمله
یک مهاجم احراز هویت شده (Authenticated Attacker) می‌تواند با استفاده از این نقص، شناسه‌های دسته‌بندی مربوط به خانوارهای دیگر را شناسایی (Enumerate) کرده و به اطلاعات زیر دسترسی پیدا کند:
- نام دسته‌بندی‌ها (Category Names)
- بودجه‌های تعریف شده (Budgets)
- رنگ‌های اختصاص یافته به دسته‌ها
این مسئله باعث می‌شود که مرزهای امنیتی بین خانوارهای مختلف در اپلیکیشن شکسته شده و حریم خصوصی کاربران به مخاطره بیفتد.
