CVE-2026-116008 in DaybydayCRM
Riassunto
di VulDB • 24/10/2026
DaybydayCRM fino alla versione 2.2.1 contiene una vulnerabilità di mancata autorizzazione in ProjectsController::updateAssign() che consente a qualsiasi utente autenticato di riassegnare progetti senza la permission can-assign-new-user-to-project. I dipendenti con privilegi ridotti possono inviare richieste PATCH o POST a /projects/updateassign/{external_id} specificando un user_assigned_id scelto per deviare la proprietà del progetto e le relative notifiche.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.