CVE-2026-71242 in Crater
Zusammenfassung
von VulDB • 06.08.2026
Die NotePolicy von Crater überprüft lediglich eine pauschale Bouncer-Berechtigung (manage-all-notes / view-all-notes) ohne Vergleich der Unternehmenszugehörigkeit, im Gegensatz zu InvoicePolicy und anderen ähnlichen Policies, die zusätzlich $user->hasCompany($model->company_id) verifizieren. Die Aktionen show(), update() und destroy() des NotesController autorisieren über $this->authorize('view notes'/'manage notes'), ohne das Ziel-Note-Modell zu übergeben, und der unternehmensbezogene Scoping von Note (scopeWhereCompany) wird nur im List-Endpunkt angewendet, nicht in den Aktionen show/update/destroy. Jeder authentifizierte Benutzer eines Unternehmens kann Notizen eines anderen Unternehmens anhand ihrer ID lesen, bearbeiten oder löschen. Dies ist ein eigenständiger Befund gegenüber dem zuvor gemeldeten Unterlassensfehler bei der Unternehmenszugehörigkeit in CustomerPolicy (eine andere Policy-Klasse und Controller).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.