CVE-2026-18750
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W pliku vinny/views.py funkcja ModifyEmailNotifications ma podatność IDOR: pobiera VinceCommEmail na podstawie surowego klucza głównego z URL i przełącza email_function/name bez sprawdzenia, czy kontakt należy do grupy administratora żądającego. Pozwala to administratorowi dostawcy na zmianę routingu powiadomień (lub odczytanie adresu e-mail/nazwy) dla kontaktu innego dostawcy.
Ocena ryzyka
Możliwy nieautoryzowany dostęp do danych kontaktowych i manipulacja powiadomieniami między dzierżawcami, co narusza poufność i integralność.
Rekomendacja
Zaimplementuj kontrolę własności zasobu przed operacją, aby upewnić się, że kontakt należy do grupy administratora.
Inne podatności w VINCE
Zobacz wszystkie- CVE-2026-18749Krytyczne
Gałąź type=track autoryzuje tylko na podstawie _is_my_case(t_attach.case) i nigdy nie sprawdza VinceTrackAttachment.shared. Artefakt sprawy przesłany przez koordynatora, który nie został oznaczony jako współdzielony, jest nadal dostępny dla każdego członka sprawy, który ma (lub otrzyma) jego uuid — co ujawnia niewydane materiały koordynatora dostawcom w sprawie.
- CVE-2026-18744Średnie
Każdy uwierzytelniony uczestnik sprawy może pobrać CaseStatement innego dostawcy oraz per-vul CaseMemberStatus, podając identyfikator tego członka — funkcja test_func sprawdza tylko _is_my_case, a nie własność kwargs['member']. Omija share_status i ujawnia objęte embargiem informacje o statusie dostawcy (dotknięty/nie dotknięty) oraz treść oświadczeń między dzierżawcami.
Oryginalny opis (angielski, źródło NVD)
vinny/views.py: (ModifyEmailNotifications) IDOR: view fetches VinceCommEmail by raw pk from URL and toggles email_function/name without checking the record's contact belongs to the requesting group-admin. Lets a vendor admin flip notification routing (or read email/name) for another vendor's contact.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS