CVE-2026-72563
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w BadChoice Handesk (stan na 2026-07-10) pozwala każdemu uwierzytelnionemu agentowi na nadpisanie rekordów leadów należących do innych zespołów przez endpoint LeadsController@update. Brakuje autoryzacji, a model Lead ma puste guarded, co umożliwia masowe przypisanie wszystkich kolumn.
Ocena ryzyka
Organizacja narażona jest na uszkodzenie danych leadów i naruszenie integralności danych między zespołami, co może wpłynąć na sprzedaż i relacje z klientami.
Rekomendacja
Należy dodać autoryzację i sprawdzanie zespołu w LeadsController@update oraz zabezpieczyć model Lead przed masowym przypisaniem.
Oryginalny opis (angielski, źródło NVD)
A broken access control vulnerability in BadChoice Handesk as of 2026-07-10 allows any authenticated agent to overwrite lead records belonging to other teams via the LeadsController@update endpoint. The endpoint performs no authorization check, and the Lead model has guarded set to an empty array making all columns mass-assignable. An attacker with any agent account can corrupt lead data across team boundaries.