Към съдържанието
Търсене

CVE-2026-72690: Attendize, заобикаляне на вход и права

5.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

An improper authorization vulnerability in Attendize through commit 9289acb allows an authenticated remote attacker to inject persistent mandatory survey questions into another organizer's events via the POST /event/{event_id}/question/create endpoint. The postCreateEventQuestion method loads the target event without the tenant-isolation scope, enabling cross-tenant writes; the injected question cannot be removed by the victim because the victim's account-scoped delete path cannot resolve a question owned by another tenant.

Засегнати продукти

  • Attendize Attendize: до 9289acb

Вид слабост

История

  • 10 август 2026 Публикувано

Други уязвимости в Attendize Attendize

Първоизточници

CVE-2026-72690: Attendize, заобикаляне на вход и права | freedomonline.bg