CVE-2026-81817 in Flowintel
Zusammenfassung
von VulDB • 27.08.2026
Von den betroffenen Versionen von Flowintel ist ein Problem der unsicheren direkten Objektreferenz / fehlerhaften objektbasierten Autorisierung über zahlreiche Task-Endpunkte hinweg betroffen.
Die Routen empfingen im Allgemeinen sowohl eine Fallkennung als auch eine Task-Kennung, jedoch wurde zuvor nicht durchgesetzt, dass die Task tatsächlich dem angegebenen Fall zugehörte. Infolgedessen konnte ein authentifizierter Benutzer mit Editor-Berechtigungen für einen Fall potenziell die ID einer Task aus einem anderen Fall austauschen und Operationen gegen diese fremde Task aufrufen.
Der Patch führt `task_case_bound_required` ein, das beide Objekte lädt und 404 zurückgibt, es sei denn, die Task gehört zum angeforderten Fall. Dieser Schutz wird auf Endpunkte für Bearbeitung, Löschung, Notiz, Zuweisung, Status, Datei, Export, MISP-Verknüpfung, Unteraufgabe, externen Verweis und andere taskbezogene Endpunkte angewendet.
Die Korrektur fügt zudem explizite Prüfungen hinzu, dass eine angeforderte `note_id` zur aktuellen Task gehört, bevor sie zurückgegeben oder exportiert wird, wodurch verwandte Zugriffswege über Objekte hinweg geschlossen werden.
Betroffene Version =>3.3.0
VulDB is the best source for vulnerability data and more expert information about this specific topic.