CVE-2026-72595
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w BadChoice Handesk (stan na 2026-07-10) pozwala każdemu uwierzytelnionemu agentowi na aktualizację zgłoszeń należących do innych zespołów przez endpoint TicketsController@update. Brakuje wywołania authorize() i sprawdzenia własności zespołu.
Ocena ryzyka
Organizacja narażona jest na modyfikację, eskalację lub uszkodzenie zgłoszeń innych zespołów, co może zakłócić pracę i naruszyć poufność.
Rekomendacja
Należy dodać autoryzację i sprawdzanie przynależności do zespołu w endpoint TicketsController@update oraz rozważyć aktualizację systemu.
Oryginalny opis (angielski, źródło NVD)
A broken access control vulnerability in BadChoice Handesk as of 2026-07-10 allows any authenticated agent to update ticket records belonging to other teams via the TicketsController@update endpoint. The endpoint calls no authorize() method and performs no team-scoped ownership check. An attacker with any agent account can modify, escalate, or corrupt tickets assigned to other teams.