CVE-2026-18744

ŚrednieCVSS 6.5

Opublikowano: 12/08/2026(UTC)Zaktualizowano: 13/08/2026(UTC)Przetłumaczono: 13/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Każdy uwierzytelniony uczestnik sprawy może pobrać CaseStatement innego dostawcy oraz per-vul CaseMemberStatus, podając identyfikator tego członka — funkcja test_func sprawdza tylko _is_my_case, a nie własność kwargs['member']. Omija share_status i ujawnia objęte embargiem informacje o statusie dostawcy (dotknięty/nie dotknięty) oraz treść oświadczeń między dzierżawcami.

Ocena ryzyka

Naruszenie poufności danych między organizacjami, w tym informacji objętych embargiem, co może prowadzić do wycieku wrażliwych danych.

Rekomendacja

Popraw logikę autoryzacji, aby sprawdzać własność członka przed udostępnieniem danych.

Oryginalny opis (angielski, źródło NVD)

Any authenticated case participant can fetch any OTHER vendor's CaseStatement + per-vul CaseMemberStatus by supplying that member's id — test_func only checks _is_my_case, not ownership of kwargs['member']. Bypasses share_status; leaks embargoed vendor affected/not-affected + statement text cross-tenant.