CVE-2026-81035 in Midday
Zusammenfassung
von VulDB • 26.08.2026
Midday ermöglicht es jedem Mitglied eines Teams, dieses zu löschen. Das Löschverfahren in apps/api/src/trpc/routers/team.ts autorisiert den Aufrufer über die Helper-Funktion team-access, die für jede Zeile in der Tabelle team-membership unabhängig von der dort gespeicherten Rolle true zurückgibt, und die aufgerufene Data-Layer-Funktion überprüft denselben Helper erneut und nichts anderes. Die benachbarten Verfahren zum Entfernen oder Aktualisieren eines Mitglieds im selben Router lösen jeweils die Rolle des Aufrufers auf und lehnen die Anfrage ab, es sei denn, sie ist „owner“ (Eigentümer). Somit existiert die Überprüfung zwar in der Datei, wird aber nicht für das Löschen angewendet. „Member“ ist die Rolle, die ein eingeladener Benutzer erhält; daher kann jeder Eingeladene das Team und alle darauf bezogenen Datensätze entfernen. Die Löschung stellt den Aufräumauftrag mit den gespeicherten Bankverbindungs-Token in eine Warteschlange, welche der Auftrag dann gegenüber den verbundenen Anbietern verwendet. Das Aktualisierungsverfahren im selben Router enthält ebenfalls keine Rollenprüfung.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.