CVE-2026-18750
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W pliku vinny/views.py funkcja ModifyEmailNotifications ma podatność IDOR: pobiera VinceCommEmail na podstawie surowego klucza głównego z URL i przełącza email_function/name bez sprawdzenia, czy kontakt należy do grupy administratora żądającego. Pozwala to administratorowi dostawcy na zmianę routingu powiadomień (lub odczytanie adresu e-mail/nazwy) dla kontaktu innego dostawcy.
Ocena ryzyka
Możliwy nieautoryzowany dostęp do danych kontaktowych i manipulacja powiadomieniami między dzierżawcami, co narusza poufność i integralność.
Rekomendacja
Zaimplementuj kontrolę własności zasobu przed operacją, aby upewnić się, że kontakt należy do grupy administratora.
Oryginalny opis (angielski, źródło NVD)
vinny/views.py: (ModifyEmailNotifications) IDOR: view fetches VinceCommEmail by raw pk from URL and toggles email_function/name without checking the record's contact belongs to the requesting group-admin. Lets a vendor admin flip notification routing (or read email/name) for another vendor's contact.