CVE-2026-55739

WysokieCVSS 8.3

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Crater izoluje dane per company_id, a polityki Invoice/Estimate/Payment/Expense wymuszają zarówno sprawdzenie umiejętności Bouncer, jak i ->hasCompany(->company_id). Jednak metody view/update/delete w CustomerPolicy pomijają sprawdzenie własności firmy, sprawdzając tylko ogólną umiejętność. Wyszukiwania klientów związane z trasą oraz masowa metoda Customer::deleteCustomers są również nieograniczone (self::find bez filtra firmy).

Ocena ryzyka

Atakujący może uzyskać dostęp do danych klientów innych firm lub je modyfikować, co prowadzi do naruszenia poufności i integralności danych.

Rekomendacja

Należy dodać sprawdzenie przynależności do firmy w metodach CustomerPolicy oraz w masowych operacjach, a także ograniczyć wyszukiwania klientów do bieżącej firmy.

Inne podatności w Crater

CVE-2026-71242Wysokie
Polityka NotePolicy w Crater sprawdza tylko ogólną zdolność Bouncer (manage-all-notes / view-all-notes) bez porównania własności firmy, w przeciwieństwie do InvoicePolicy i innych podobnych polityk, które dodatkowo weryfikują ->hasCompany(->company_id). Każdy uwierzytelniony użytkownik jednej firmy może czytać, edytować lub usuwać notatki innej firmy po ID.

Oryginalny opis (angielski, źródło NVD)

Crater isolates data per company_id, and its Invoice/Estimate/Payment/Expense policies enforce both a Bouncer ability check and ->hasCompany(->company_id). CustomerPolicy's view/update/delete methods omit the company-ownership check entirely, checking only the blanket ability. Route-model-bound customer lookups and the bulk Customer::deleteCustomers method are similarly unscoped (self::find with no company filter).