CVE-2026-71242

WysokieCVSS 8.3

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Polityka NotePolicy w Crater sprawdza tylko ogólną zdolność Bouncer (manage-all-notes / view-all-notes) bez porównania własności firmy, w przeciwieństwie do InvoicePolicy i innych podobnych polityk, które dodatkowo weryfikują ->hasCompany(->company_id). Każdy uwierzytelniony użytkownik jednej firmy może czytać, edytować lub usuwać notatki innej firmy po ID.

Ocena ryzyka

Uwierzytelnieni użytkownicy mogą uzyskać dostęp do poufnych notatek innych firm, co narusza izolację danych między firmami i może prowadzić do wycieku informacji.

Rekomendacja

Zaktualizuj Crater do wersji, która implementuje sprawdzanie własności firmy w NotePolicy, lub tymczasowo ogranicz dostęp do notatek poprzez dodatkowe kontrole w aplikacji.

Inne podatności w Crater

CVE-2026-55739Wysokie
Crater izoluje dane per company_id, a polityki Invoice/Estimate/Payment/Expense wymuszają zarówno sprawdzenie umiejętności Bouncer, jak i ->hasCompany(->company_id). Jednak metody view/update/delete w CustomerPolicy pomijają sprawdzenie własności firmy, sprawdzając tylko ogólną umiejętność. Wyszukiwania klientów związane z trasą oraz masowa metoda Customer::deleteCustomers są również nieograniczone (self::find bez filtra firmy).

Oryginalny opis (angielski, źródło NVD)

Crater's NotePolicy checks only a blanket Bouncer ability (manage-all-notes / view-all-notes) with no company-ownership comparison, unlike InvoicePolicy and other sibling policies which additionally verify ->hasCompany(->company_id). Any authenticated user of one company can read, edit, or delete another company's notes by ID.