CVE-2026-18749
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Gałąź type=track autoryzuje tylko na podstawie _is_my_case(t_attach.case) i nigdy nie sprawdza VinceTrackAttachment.shared. Artefakt sprawy przesłany przez koordynatora, który nie został oznaczony jako współdzielony, jest nadal dostępny dla każdego członka sprawy, który ma (lub otrzyma) jego uuid — co ujawnia niewydane materiały koordynatora dostawcom w sprawie.
Ocena ryzyka
Niezamierzone ujawnienie poufnych materiałów koordynatora przed ich oficjalnym udostępnieniem, co może naruszyć proces koordynacji.
Rekomendacja
Dodaj sprawdzenie flagi shared przed udostępnieniem artefaktu członkom sprawy.
Oryginalny opis (angielski, źródło NVD)
The type=track branch authorises on _is_my_case(t_attach.case) only and never checks VinceTrackAttachment.shared. A coordinator-uploaded case artefact that has NOT been marked shared is still retrievable by any case member who has (or is sent) its uuid — leaks not-yet-released coordinator material to vendors on the case.