CVE-2026-72547
WysokieCVSS 7.1Streszczenie
Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na masowe importowanie uczestników do wydarzeń należących do innych kont przez endpoint postImportAttendee. Endpoint ładuje docelowe wydarzenie po ID bez weryfikacji własności względem konta organizatora. Atakujący może wstrzyknąć masowe dane uczestników do dowolnego wydarzenia w systemie, niezależnie od granic kont.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności danych wydarzeń i możliwość manipulacji danymi uczestników, co może prowadzić do fałszywych rejestracji i zakłócenia działania. Może to również naruszyć zaufanie do systemu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub dodanie weryfikacji własności wydarzenia w endpointcie postImportAttendee. Należy również przeprowadzić audyt istniejących danych.
Oryginalny opis (angielski, źródło NVD)
An insecure direct object reference vulnerability in Attendize through commit 9289acb allows any authenticated event organiser to bulk import attendees into events belonging to other accounts via the postImportAttendee endpoint. The endpoint loads the target event by ID without verifying ownership against the requesting organiser account. An attacker can inject bulk attendee data into any event in the system regardless of account boundaries.