CVE-2026-72546
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na wstrzykiwanie uczestników i zamówień do wydarzeń należących do innych kont przez endpoint postInviteAttendee. Endpoint ładuje docelowe wydarzenie po ID bez ograniczania zapytania do uwierzytelnionego konta organizatora. Atakujący może modyfikować dane wydarzeń i rekordy finansowe ponad granicami kont.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności danych finansowych i wydarzeń, co może prowadzić do fałszywych zamówień i strat finansowych. Może to również naruszyć zaufanie do systemu i wpłynąć na rozliczenia.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub dodanie weryfikacji własności wydarzenia w endpointcie postInviteAttendee. Należy również monitorować transakcje i dane wydarzeń.
Inne podatności w Attendize
Zobacz wszystkie- CVE-2026-72547Wysokie
Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na masowe importowanie uczestników do wydarzeń należących do innych kont przez endpoint postImportAttendee. Endpoint ładuje docelowe wydarzenie po ID bez weryfikacji własności względem konta organizatora. Atakujący może wstrzyknąć masowe dane uczestników do dowolnego wydarzenia w systemie, niezależnie od granic kont.
- CVE-2026-72690Wysokie
Podatność nieprawidłowej autoryzacji w Attendize do commitu 9289acb umożliwia uwierzytelnionemu zdalnemu atakującemu wstrzykiwanie trwałych obowiązkowych pytań ankietowych do wydarzeń innego organizatora poprzez endpoint POST /event/{event_id}/question/create. Metoda postCreateEventQuestion ładuje docelowe wydarzenie bez zakresu izolacji dzierżawcy, umożliwiając zapisy między dzierżawcami; wstrzyknięte pytanie nie może zostać usunięte przez ofiarę, ponieważ ścieżka usuwania w zakresie konta ofiary nie może rozwiązać pytania należącego do innego dzierżawcy.
Oryginalny opis (angielski, źródło NVD)
An insecure direct object reference vulnerability in Attendize through commit 9289acb allows any authenticated event organiser to inject attendees and orders into events belonging to other accounts via the postInviteAttendee endpoint. The endpoint loads the target event by ID without scoping the query to the authenticated organiser account. An attacker can modify event data and financial records across account boundaries.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS