Vulnerabilidad en cedar-java de cedar-policy (CVE-2026-55773)

CedarJava es una implementación Java de código abierto del lenguaje de políticas Cedar, utilizada para decisiones de autorización de grano fino. En versiones anteriores a la 2.3.6, 3.4.1 y 4.9.0, bajo ciertas circunstancias, un manejo inadecuado de la entrada podría permitir la inyección de expresiones Cedar a través de toCedarExpr() sin escape. El método toCedarExpr() en los tipos de valor Cedar no escapa caracteres especiales (” o \) al convertir valores a código fuente Cedar. Si un integrador utiliza toCedarExpr() para construir texto de política en tiempo de ejecución a partir de valores controlados por el usuario, un actor podría inyectar expresiones Cedar arbitrarias. Por ejemplo, inyectar || true en una cláusula permit ... when { ... } podría hacer que el permiso sea incondicional, o inyectar && false en una cláusula forbid podría evitar que el forbid se active. Este problema requiere que el integrador utilice toCedarExpr() para construir texto de política en tiempo de ejecución a partir de entrada controlada por el usuario. Esta vulnerabilidad ha sido corregida en las versiones 2.3.6, 3.4.1 y 4.9.0.