CVE-2026-7145
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W mettle sendportal do wersji 3.0.1 funkcja destroy w pliku app/Http/Controllers/Workspaces/WorkspaceInvitationsController.php (komponent Invitation Handler) pozwala obejść autoryzację poprzez manipulację argumentem invitation. Atak można zainicjować zdalnie, a projekt nie odpowiedział jeszcze na zgłoszenie problemu.
Ocena ryzyka
Atakujący może obejść kontrolę uprawnień i wykonywać operacje na zaproszeniach do przestrzeni roboczych, do których nie powinien mieć dostępu.
Rekomendacja
Wprowadź dodatkowe sprawdzanie uprawnień w akcji destroy i monitoruj dostęp do endpointów zarządzania zaproszeniami do czasu wydania poprawki.
Inne podatności w mettle sendportal
Zobacz wszystkie- CVE-2026-26483Średnie
Mettle SendPortal 3.0.1 i wcześniejsze zawiera podatność na trwały XSS w funkcjonalności zarządzania szablonami. Aplikacja nie sanitizuje poprawnie danych wejściowych w parametrze content endpointu /templates, co pozwala atakującemu na trwałe wstrzyknięcie złośliwego kodu JavaScript.
- CVE-2026-15192Średnie
W Mettle SendPortal do wersji 3.0.1 wykryto brak uwierzytelnienia w komponencie APIv1 Webhooks dla funkcji sendgrid/postmark/postal/mailjet. Luka umożliwia zdalne wykorzystanie bez autoryzacji, a szczegóły ataku zostały ujawnione publicznie.
- CVE-2026-15191Średnie
W Mettle SendPortal do wersji 3.0.1 wykryto podatność w punkcie końcowym tworzenia kampanii. Nieznany kod w pliku CampaignStoreRequest.php umożliwia zdalne obejście autoryzacji. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-10234Niskie
Nieznana część pliku /webview/ w komponencie Campaign Handler w Mettle sendportal do wersji 3.0.1 jest podatna na atak XSS poprzez manipulację argumentem content. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in mettle sendportal up to 3.0.1. Affected is the function destroy of the file app/Http/Controllers/Workspaces/WorkspaceInvitationsController.php of the component Invitation Handler. This manipulation of the argument invitation causes authorization bypass. The attack may be initiated remotely. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS