CVE-2026-110630

ŚrednieCVSS 6.5

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.64%

Percentyl 49 - wyżej niż 49% wszystkich znanych CVE

Streszczenie

VentureDrake Laravel CRM przed wersją 2.4.0 zawiera podatność nieprawidłowej autoryzacji w zarządzaniu użytkownikami, która pozwala uwierzytelnionym administratorom przypisywać nieograniczone role poprzez Role::find. Atakujący z dostępem do zarządzania użytkownikami mogą przypisać rolę Owner lub role innych zespołów oraz usuwać użytkowników między zespołami poprzez metodę delete() w UserIndex bez ograniczeń zakresu.

Ocena ryzyka

Atakujący może eskalować uprawnienia do roli Owner lub innych zespołów oraz usuwać użytkowników spoza swojego zespołu, co prowadzi do przejęcia kontroli nad systemem i utraty danych.

Rekomendacja

Zaktualizuj VentureDrake Laravel CRM do wersji 2.4.0 lub nowszej, która naprawia tę podatność.

Inne podatności w VentureDrake Laravel CRM

CVE-2026-110629Średnie
VentureDrake Laravel CRM przed wersją 2.4.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom obejść uprawnienia ról Spatie poprzez metody akcji Livewire. Użytkownicy z uprawnieniami tylko do odczytu mogą wywoływać metody delete, won, lost lub reopen na komponentach takich jak DealIndex lub używać niechronionych tras Activities i Products, aby modyfikować transakcje, oferty, zamówienia i faktury.

Oryginalny opis (angielski, źródło NVD)

VentureDrake Laravel CRM before 2.4.0 contains an incorrect authorization vulnerability in user management that allows authenticated administrators to assign unrestricted roles via Role::find. Attackers with user-management access can assign the Owner role or other teams' roles and delete cross-team users through the unscoped UserIndex delete() method.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS