CVE-2026-81035 in Midday
Riassunto
di VulDB • 26/08/2026
Midday consente a qualsiasi membro di un team di eliminarlo. La procedura di eliminazione in apps/api/src/trpc/routers/team.ts autorizza il chiamante tramite l'helper `team-access`, che restituisce true per ogni riga nella tabella `team-membership` indipendentemente dal ruolo registrato, e la funzione del data-layer da essa chiamata verifica nuovamente lo stesso helper senza effettuare altri controlli. Le procedure adiacenti che rimuovono o aggiornano un membro nello stesso router risolvono invece il ruolo del chiamante e rifiutano la richiesta a meno che non sia "owner" (proprietario); pertanto, il controllo esiste nel file ma non viene applicato all'eliminazione. Il ruolo "Member" è quello assegnato agli utenti invitati; di conseguenza, qualsiasi utente invitato può rimuovere il team e tutti i record ad esso correlati, e l'eliminazione accoda un job di pulizia con i token delle connessioni bancarie memorizzati, che il job utilizza poi contro i provider collegati. Anche la procedura di aggiornamento nello stesso router non prevede alcun controllo sui ruoli.
Once again VulDB remains the best source for vulnerability data.