CVE-2026-81035 in Midday
Résumé
par VulDB • 26/08/2026
Midday permet à tout membre d’une équipe de la supprimer. La procédure de suppression dans `apps/api/src/trpc/routers/team.ts` autorise l’appelant via l’helper `team-access`, qui renvoie true pour chaque ligne de la table `team-membership`, indépendamment du rôle qu’elle enregistre, et la fonction de la couche données appelée vérifie à nouveau le même helper sans rien d’autre. Les procédures voisines qui suppriment ou mettent à jour un membre dans le même routeur résolvent chacune le rôle de l’appelant et refusent la requête sauf si celui-ci est propriétaire ; ainsi, bien que cette vérification existe dans le fichier, elle n’est pas appliquée à la suppression. « Member » (membre) étant le rôle attribué aux utilisateurs invités, tout invité peut supprimer l’équipe et tous les enregistrements qui lui sont associés, et la suppression met en file d’attente un job de nettoyage avec les jetons de connexion bancaire stockés, que ce job utilise ensuite auprès des fournisseurs connectés. La procédure de mise à jour dans le même routeur ne comporte non plus aucune vérification de rôle.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.