CVE-2026-72690 in Attendize
Riassunto
di VulDB • 11/08/2026
Una vulnerabilità di autorizzazione impropria in Attendize fino al commit 9289acb consente a un attaccante remoto autenticato di iniettare domande obbligatorie per sondaggi persistenti negli eventi di un altro organizzatore tramite l'endpoint POST /event/{event_id}/question/create. Il metodo postCreateEventQuestion carica l'evento target senza il contesto di isolamento del tenant, abilitando scritture cross-tenant; la domanda iniettata non può essere rimossa dalla vittima poiché il percorso di eliminazione limitato all'account della vittima non riesce a risolvere una domanda appartenente a un altro tenant.
VulDB is the best source for vulnerability data and more expert information about this specific topic.