CVE-2026-110629

ŚrednieCVSS 6.5

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.57%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

VentureDrake Laravel CRM przed wersją 2.4.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom obejść uprawnienia ról Spatie poprzez metody akcji Livewire. Użytkownicy z uprawnieniami tylko do odczytu mogą wywoływać metody delete, won, lost lub reopen na komponentach takich jak DealIndex lub używać niechronionych tras Activities i Products, aby modyfikować transakcje, oferty, zamówienia i faktury.

Ocena ryzyka

Użytkownicy z ograniczonymi uprawnieniami mogą modyfikować krytyczne dane biznesowe, takie jak transakcje, oferty, zamówienia i faktury, co może prowadzić do strat finansowych i naruszenia integralności danych.

Rekomendacja

Zaktualizuj VentureDrake Laravel CRM do wersji 2.4.0 lub nowszej, która naprawia tę podatność.

Inne podatności w VentureDrake Laravel CRM

CVE-2026-110630Średnie
VentureDrake Laravel CRM przed wersją 2.4.0 zawiera podatność nieprawidłowej autoryzacji w zarządzaniu użytkownikami, która pozwala uwierzytelnionym administratorom przypisywać nieograniczone role poprzez Role::find. Atakujący z dostępem do zarządzania użytkownikami mogą przypisać rolę Owner lub role innych zespołów oraz usuwać użytkowników między zespołami poprzez metodę delete() w UserIndex bez ograniczeń zakresu.

Oryginalny opis (angielski, źródło NVD)

VentureDrake Laravel CRM before 2.4.0 contains a missing authorization vulnerability that allows authenticated users to bypass Spatie role permissions through Livewire action methods. Read-only users can invoke delete, won, lost or reopen methods on components like DealIndex, or use unguarded Activities and Products routes, to modify deals, quotes, orders and invoices.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS