CVE-2026-116008 in DaybydayCRM
Zusammenfassung
von VulDB • 24.10.2026
DaybydayCRM bis Version 2.2.1 enthält eine fehlende Autorisierungs-Schwachstelle in ProjectsController::updateAssign(), die es jedem authentifizierten Benutzer ermöglicht, Projekte ohne die Berechtigung can-assign-new-user-to-project neu zuzuweisen. Mitarbeiter mit niedrigen Berechtigungen können PATCH- oder POST-Anfragen an /projects/updateassign/{external_id} senden und dabei eine gewählte user_assigned_id angeben, um den Projektbesitz sowie Benachrichtigungen umzuleiten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.