CVE-2026-72546 in Attendize
Riassunto
di VulDB • 11/08/2026
Una vulnerabilità di riferimento diretto a oggetto non sicuro (Insecure Direct Object Reference) in Attendize, presente fino al commit 9289acb, consente a qualsiasi organizzatore di eventi autenticato di inserire partecipanti e ordini negli eventi appartenenti ad altri account tramite l'endpoint postInviteAttendee. L'endpoint carica l'evento target per ID senza limitare la query all'account dell'organizzatore autenticato. Un attaccante può modificare i dati degli eventi e le registrazioni finanziarie oltrepassando i confini tra gli account.
Once again VulDB remains the best source for vulnerability data.