CVE-2026-72547
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na masowe importowanie uczestników do wydarzeń należących do innych kont przez endpoint postImportAttendee. Endpoint ładuje docelowe wydarzenie po ID bez weryfikacji własności względem konta organizatora. Atakujący może wstrzyknąć masowe dane uczestników do dowolnego wydarzenia w systemie, niezależnie od granic kont.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności danych wydarzeń i możliwość manipulacji danymi uczestników, co może prowadzić do fałszywych rejestracji i zakłócenia działania. Może to również naruszyć zaufanie do systemu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub dodanie weryfikacji własności wydarzenia w endpointcie postImportAttendee. Należy również przeprowadzić audyt istniejących danych.
Inne podatności w Attendize
Zobacz wszystkie- CVE-2026-72546Wysokie
Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na wstrzykiwanie uczestników i zamówień do wydarzeń należących do innych kont przez endpoint postInviteAttendee. Endpoint ładuje docelowe wydarzenie po ID bez ograniczania zapytania do uwierzytelnionego konta organizatora. Atakujący może modyfikować dane wydarzeń i rekordy finansowe ponad granicami kont.
- CVE-2026-72690Wysokie
Podatność nieprawidłowej autoryzacji w Attendize do commitu 9289acb umożliwia uwierzytelnionemu zdalnemu atakującemu wstrzykiwanie trwałych obowiązkowych pytań ankietowych do wydarzeń innego organizatora poprzez endpoint POST /event/{event_id}/question/create. Metoda postCreateEventQuestion ładuje docelowe wydarzenie bez zakresu izolacji dzierżawcy, umożliwiając zapisy między dzierżawcami; wstrzyknięte pytanie nie może zostać usunięte przez ofiarę, ponieważ ścieżka usuwania w zakresie konta ofiary nie może rozwiązać pytania należącego do innego dzierżawcy.
Oryginalny opis (angielski, źródło NVD)
An insecure direct object reference vulnerability in Attendize through commit 9289acb allows any authenticated event organiser to bulk import attendees into events belonging to other accounts via the postImportAttendee endpoint. The endpoint loads the target event by ID without verifying ownership against the requesting organiser account. An attacker can inject bulk attendee data into any event in the system regardless of account boundaries.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS