CVE-2026-54320

{
  "id": "CVE-2026-54320",
  "sourceIdentifier": "[email protected]",
  "published": "2026-06-23T19:17:07.993",
  "lastModified": "2026-10-25T23:10:00.167",
  "vulnStatus": "Deferred",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "Daytona is a secure and elastic infrastructure runtime for AI-generated code execution and agent workflows. Prior to 0.184.0, organization invitations could be accepted (and declined) by a user whose email matched the invitation but had not been verified. Daytona authenticates users via OIDC and matches an invitation's target email against the email in the caller's token, but the invitation accept and decline paths did not require that email to be verified, unlike organization creation, which already enforced verification. On identity providers that allow self-service signup and issue a session before the email is verified, an actor could register an address matching a pending invitation, leave it unverified, and accept the invitation, joining the target organization with the role the invitation carried (up to Owner). This vulnerability is fixed in 0.184.0."
    },
    {
      "lang": "es",
      "value": "Daytona es un entorno de ejecución de infraestructura seguro y elástico para la ejecución de código generado por IA y flujos de trabajo de agentes. Antes de la versión 0.184.0, las invitaciones de organización podían ser aceptadas (y rechazadas) por un usuario cuyo correo electrónico coincidía con la invitación pero no había sido verificado. Daytona autentica a los usuarios a través de OIDC y compara el correo electrónico de destino de una invitación con el correo electrónico en el token del llamante, pero las rutas de aceptación y rechazo de la invitación no requerían que ese correo electrónico fuera verificado, a diferencia de la creación de organizaciones, que ya aplicaba la verificación. En proveedores de identidad que permiten el registro de autoservicio y emiten una sesión antes de que el correo electrónico sea verificado, un actor podría registrar una dirección que coincidiera con una invitación pendiente, dejarla sin verificar y aceptar la invitación, uniéndose a la organización de destino con el rol que conllevaba la invitación (hasta Propietario). Esta vulnerabilidad está corregida en la versión 0.184.0."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "daytonaio",
          "product": "daytona",
          "versions": [
            {
              "version": "< 0.184.0",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "[email protected]",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L",
          "baseScore": 8.4,
          "baseSeverity": "HIGH",
          "attackVector": "NETWORK",
          "attackComplexity": "HIGH",
          "privilegesRequired": "LOW",
          "userInteraction": "NONE",
          "scope": "CHANGED",
          "confidentialityImpact": "HIGH",
          "integrityImpact": "HIGH",
          "availabilityImpact": "LOW"
        },
        "exploitabilityScore": 1.8,
        "impactScore": 6.0
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-06-24T14:28:12.345394Z",
          "id": "CVE-2026-54320",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-287"
        },
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://github.com/daytonaio/daytona/security/advisories/GHSA-m6hx-cffh-3f3h",
      "source": "[email protected]"
    }
  ]
}