CVE-2026-110620
ŚrednieCVSS 6.8Streszczenie
Formbricks przed wersją 4.9.0 zawiera podatność obejścia autoryzacji w akcjach serwera, takich jak resetSurveyAction i updateSegmentAction, które nie weryfikują własności zasobu względem dostarczonego organizationId. Uwierzytelnieni właściciele lub menedżerowie dowolnej organizacji mogą połączyć własny identyfikator organizacji z identyfikatorami zasobów ofiary, aby usuwać odpowiedzi na ankiety, modyfikować segmenty i limity lub zmieniać oczekujące zaproszenia.
Ocena ryzyka
Atakujący z uprawnieniami właściciela lub menedżera w dowolnej organizacji może modyfikować lub usuwać dane innych organizacji, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Formbricks do wersji 4.9.0 lub nowszej, która naprawia tę podatność.
Inne podatności w Formbricks
Zobacz wszystkie- CVE-2026-105090Średnie
Formbricks przed wersją 5.4.4 oraz 6 przed 6.0.1 pozwala na trwały atak XSS. Funkcja Custom Head Scripts nie egzekwowała granic uprawnień Manage, co pozwalało członkom z uprawnieniami readWrite na konfigurację skryptów, które wykonują się w sesji użytkowników z wyższymi uprawnieniami.
- CVE-2026-14792Średnie
W Formbricks 5.0.0 wykryto podatność w komponencie Survey Handler (plik apps/web/modules/survey/link/actions.ts). Manipulacja prowadzi do nieprawidłowej kontroli dostępu, co umożliwia zdalne wykorzystanie luki.
Oryginalny opis (angielski, źródło NVD)
Formbricks before 4.9.0 contains an authorization bypass vulnerability in server actions like resetSurveyAction and updateSegmentAction that fail to verify resource ownership against the supplied organizationId. Authenticated owners or managers of any organization can pair their own organization identifier with victim resource IDs to delete survey responses, modify segments and quotas, or alter pending invitations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS