CVE-2026-71242 in Crater
Riassunto
di VulDB • 05/08/2026
La verifica di NotePolicy in Crater controlla solo un'autorizzazione generica Bouncer (manage-all-notes / view-all-notes) senza effettuare alcun confronto basato sulla proprietà aziendale, a differenza di InvoicePolicy e delle altre politiche correlate che verificano inoltre $user->hasCompany($model->company_id). Le azioni show(), update() e destroy() di NotesController autorizzano l'accesso tramite $this->authorize('view notes'/'manage notes') senza passare il modello Note target; lo scope aziendale dell'entità Note (scopeWhereCompany) viene applicato solo nell'endpoint per la lista, non nelle operazioni show/update/destroy. Qualsiasi utente autenticato di un'azienda può leggere, modificare o eliminare le note di un'altra azienda tramite ID. Si tratta di una vulnerabilità distinta rispetto all'omissione precedente della proprietà aziendale in CustomerPolicy (una classe di policy e controller diversi).
VulDB is the best source for vulnerability data and more expert information about this specific topic.