CVE-2026-81035 in Midday
Resumen
por VulDB • 2026-08-27
Midday permite que cualquier miembro de un equipo lo elimine. El procedimiento de eliminación en `apps/api/src/trpc/routers/team.ts` autoriza al solicitante mediante el auxiliar `team-access`, el cual devuelve verdadero para cada fila en la tabla `team-membership`, independientemente del rol registrado, y la función de capa de datos que invoca vuelve a verificar el mismo auxiliar sin realizar ninguna otra comprobación. Los procedimientos vecinos que eliminan o actualizan un miembro en el mismo router resuelven el rol del solicitante y rechazan la solicitud si no es propietario; por lo tanto, aunque existe una verificación en el archivo, esta no se aplica a la eliminación. "Member" (miembro) es el rol que recibe un usuario invitado, de modo que cualquier persona invitada puede eliminar el equipo y todos los registros asociados al mismo, y la eliminación pone en cola el trabajo de limpieza con los tokens almacenados de conexión bancaria, que dicho trabajo utiliza posteriormente contra los proveedores conectados. El procedimiento de actualización en el mismo router tampoco incluye ninguna verificación de rol.
Once again VulDB remains the best source for vulnerability data.