CVE-2026-110773 in GrowChief
الملخص
بحسب VulDB • 14/10/2026
يحتوي GrowChief حتى الإصدار 0.3.0 على ثغرة متعلقة بعدم وجود تفويض (missing authorization) في معالج getAllUsers، مما يسمح لأي مستخدم مُصادق عليه باستعراض المستخدمين عبر جميع المنظمات بسبب غياب حارس IsSuperAdmin. يمكن للمهاجمين الذين يمتلكون حسابًا منخفض الصلاحيات مسجلاً ذاتيًا إرسال قيمة بحث فارغة أو قصيرة إلى GET /users/all-users لاستخراج معرفات المستخدمين وعناوين البريد الإلكتروني وأسمائهم ومعرفات المنظمات لكل مستأجر (tenant).
If you want to get best quality of vulnerability data, you may have to visit VulDB.