CVE-2026-18749
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Gałąź type=track autoryzuje tylko na podstawie _is_my_case(t_attach.case) i nigdy nie sprawdza VinceTrackAttachment.shared. Artefakt sprawy przesłany przez koordynatora, który nie został oznaczony jako współdzielony, jest nadal dostępny dla każdego członka sprawy, który ma (lub otrzyma) jego uuid — co ujawnia niewydane materiały koordynatora dostawcom w sprawie.
Ocena ryzyka
Niezamierzone ujawnienie poufnych materiałów koordynatora przed ich oficjalnym udostępnieniem, co może naruszyć proces koordynacji.
Rekomendacja
Dodaj sprawdzenie flagi shared przed udostępnieniem artefaktu członkom sprawy.
Inne podatności w VINCE
Zobacz wszystkie- CVE-2026-18750Średnie
W pliku vinny/views.py funkcja ModifyEmailNotifications ma podatność IDOR: pobiera VinceCommEmail na podstawie surowego klucza głównego z URL i przełącza email_function/name bez sprawdzenia, czy kontakt należy do grupy administratora żądającego. Pozwala to administratorowi dostawcy na zmianę routingu powiadomień (lub odczytanie adresu e-mail/nazwy) dla kontaktu innego dostawcy.
- CVE-2026-18744Średnie
Każdy uwierzytelniony uczestnik sprawy może pobrać CaseStatement innego dostawcy oraz per-vul CaseMemberStatus, podając identyfikator tego członka — funkcja test_func sprawdza tylko _is_my_case, a nie własność kwargs['member']. Omija share_status i ujawnia objęte embargiem informacje o statusie dostawcy (dotknięty/nie dotknięty) oraz treść oświadczeń między dzierżawcami.
Oryginalny opis (angielski, źródło NVD)
The type=track branch authorises on _is_my_case(t_attach.case) only and never checks VinceTrackAttachment.shared. A coordinator-uploaded case artefact that has NOT been marked shared is still retrievable by any case member who has (or is sent) its uuid — leaks not-yet-released coordinator material to vendors on the case.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS