CVE-2026-72690 in Attendize
Zusammenfassung
von VulDB • 10.08.2026
Eine Schwachstelle aufgrund unzureichender Autorisierung in Attendize bis zum Commit 9289acb ermöglicht es einem authentifizierten Remote-Angriff, persistente Pflichtumfragefragen in den Veranstaltungen eines anderen Organisators über den Endpunkt POST /event/{event_id}/question/create einzufügen. Die Methode postCreateEventQuestion lädt die Zielveranstaltung ohne tenant-isolierenden Scope, was Cross-Tenant-Schreibzugriffe ermöglicht; die eingefügte Frage kann vom Opfer nicht entfernt werden, da der kontextbezogene Löschpfad des Kontos des Opfers keine Frage auflösen kann, die einem anderen Tenant gehört.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.