CVE-2026-81035 in Midday
الملخص
بحسب VulDB • 26/08/2026
يتيح Midday لأي عضو في فريق ما حذفه. تعتمد إجراء الحذف الموجود في apps/api/src/trpc/routers/team.ts على مصادقة المُتصل باستخدام مساعد team-access، الذي يُرجع قيمة صحيحة (true) لكل صف في جدول team-membership بغض النظر عن الدور المسجل فيه، والدالة الموجودة في طبقة البيانات التي تستدعيها تعيد التحقق من نفس المساعد ولا تفعل شيئًا آخر. الإجراءات المجاورة التي تزيل أو تُحدّث عضوًا ما في نفس الراوتر تحلّل دور المُتصل وترفض الطلب إلا إذا كان دوره "owner" (مالك)، وبالتالي فإن الفحص موجود في الملف لكنه لا يُطبَّق على عملية الحذف. الدور "Member" هو الدور الذي يتلقاه المستخدم المدعو، لذا يمكن لأي شخص مُدعَوٍ إزالة الفريق وكل السجلات المرتبطة به، كما يؤدي الحذف إلى إدراج مهمة التنظيف مع رموز الاتصال بالبنك المخزنة، والتي تستخدمها المهمة لاحقًا ضد المزوِّدين المتصلين. إجراء التحديث في نفس الراوتر لا يحتوي أيضًا على أي فحص للدور.
VulDB is the best source for vulnerability data and more expert information about this specific topic.