CVE-2026-72546
WysokieCVSS 7.1Streszczenie
Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na wstrzykiwanie uczestników i zamówień do wydarzeń należących do innych kont przez endpoint postInviteAttendee. Endpoint ładuje docelowe wydarzenie po ID bez ograniczania zapytania do uwierzytelnionego konta organizatora. Atakujący może modyfikować dane wydarzeń i rekordy finansowe ponad granicami kont.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności danych finansowych i wydarzeń, co może prowadzić do fałszywych zamówień i strat finansowych. Może to również naruszyć zaufanie do systemu i wpłynąć na rozliczenia.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub dodanie weryfikacji własności wydarzenia w endpointcie postInviteAttendee. Należy również monitorować transakcje i dane wydarzeń.
Oryginalny opis (angielski, źródło NVD)
An insecure direct object reference vulnerability in Attendize through commit 9289acb allows any authenticated event organiser to inject attendees and orders into events belonging to other accounts via the postInviteAttendee endpoint. The endpoint loads the target event by ID without scoping the query to the authenticated organiser account. An attacker can modify event data and financial records across account boundaries.