CVE-2026-82872: ToolJet lækker data mellem workspaces

ToolJet er en open source platform, som virksomheder bruger til hurtigt at bygge interne værktøjer og apps ovenpå egne databaser. Sårbarheden CVE-2026-82872 skyldes, at ToolJet ikke kontrollerer, at parameteren organizationId i API-kald faktisk hører til den bruger, der er logget ind. Det betyder, at en administrator i én workspace, altså en afgrænset arbejdsplads for et team eller en kunde, kan bytte organizationId ud i sine forespørgsler og dermed operere på databasetabeller i en helt anden workspace, som vedkommende ellers ikke har adgang til. Fejlklassen kaldes CWE-639 og handler grundlæggende om, at systemet stoler på en værdi, brugeren selv sender, i stedet for at slå den korrekte tilhørsforhold op på serveren.

Det rammer alle, der kører ToolJet i en version ældre end 3.16.208, og som har mere end én workspace på samme installation. Det gælder typisk virksomheder, der bruger ToolJet til flere afdelinger, projekter eller kunder på samme server, samt udbydere, der hoster ToolJet som en delt tjeneste for flere kunder. Har I kun én workspace, og har ingen andre adgang til jeres ToolJet-installation, er den praktiske risiko mindre, men opdateringen bør stadig udføres.

En bruger med administratorrettigheder i sin egen workspace kan læse, oprette og slette databasetabeller i en anden workspace. I praksis kan det betyde, at en afdeling får adgang til en anden afdelings data, at data slettes uden ret til det, eller at der indsættes falske data i systemer, andre stoler på. For en dansk virksomhed, der deler ToolJet mellem flere teams eller udlejer adgang til kunder, kan det udløse et databrud, der skal vurderes efter databeskyttelsesreglerne.

CVSS-score er 9,1 af 10, hvilket er kritisk. Angrebet kræver ikke, at offeret klikker på noget eller foretager sig noget (ingen brugerinteraktion), og det kan udføres over netværket med lav teknisk kompleksitet. Til gengæld kræver det, at angriberen allerede er logget ind som administrator i en workspace (høje privilegier), altså ikke en helt udefrakommende angriber. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud, og fejlen påvirker ressourcer uden for angriberens egen kontekst (scope changed). Der er ingen offentlige oplysninger om aktiv udnyttelse af CVE-2026-82872 pr. offentliggørelsesdatoen.

Det vigtigste er at opdatere ToolJet, så adgangskontrollen bliver rettet. Derefter bør I se på, hvem der reelt har administratorrettigheder i jeres workspaces.

1. Opdatér ToolJet til version 3.16.208 eller nyere på alle installationer.
2. Gennemgå listen over workspace-administratorer og fjern rettigheder, der ikke længere er nødvendige.
3. Kontrollér logs for API-kald med organizationId-parametre, der ikke matcher den forventede workspace, for at se om fejlen er blevet udnyttet.
4. Er ToolJet delt mellem flere afdelinger eller kunder, så vurdér om databasetabeller bør flyttes til separate installationer fremover.
5. Har I ikke selv ressourcer til at gennemgå logs og rettigheder, bør I hente hjælp udefra til at foretage en sikkerhedsgennemgang af opsætningen.