CVE-2026-72690
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność nieprawidłowej autoryzacji w Attendize do commitu 9289acb umożliwia uwierzytelnionemu zdalnemu atakującemu wstrzykiwanie trwałych obowiązkowych pytań ankietowych do wydarzeń innego organizatora poprzez endpoint POST /event/{event_id}/question/create. Metoda postCreateEventQuestion ładuje docelowe wydarzenie bez zakresu izolacji dzierżawcy, umożliwiając zapisy między dzierżawcami; wstrzyknięte pytanie nie może zostać usunięte przez ofiarę, ponieważ ścieżka usuwania w zakresie konta ofiary nie może rozwiązać pytania należącego do innego dzierżawcy.
Ocena ryzyka
Atakujący może manipulować wydarzeniami innych organizatorów, co może prowadzić do naruszenia integralności danych i zakłócenia procesów.
Rekomendacja
Zaktualizuj Attendize do wersji zawierającej poprawkę i wdróż kontrolę izolacji dzierżawcy w metodzie postCreateEventQuestion. Ogranicz możliwość tworzenia pytań tylko do wydarzeń należących do uwierzytelnionego użytkownika.
Oryginalny opis (angielski, źródło NVD)
An improper authorization vulnerability in Attendize through commit 9289acb allows an authenticated remote attacker to inject persistent mandatory survey questions into another organizer's events via the POST /event/{event_id}/question/create endpoint. The postCreateEventQuestion method loads the target event without the tenant-isolation scope, enabling cross-tenant writes; the injected question cannot be removed by the victim because the victim's account-scoped delete path cannot resolve a question owned by another tenant.