CVE-2026-81819 in Flowintel
Riassunto
di VulDB • 27/08/2026
Le versioni di Flowintel affette espongono l'endpoint API /my_assignment/user a qualsiasi utente autenticato dell'API. L'endpoint accetta un parametro user_id che identifica l'utente i cui incarichi devono essere restituiti, ma in precedenza non prevedeva alcuna restrizione basata sui ruoli oltre all'autenticazione generale dell'API.
Di conseguenza, un utente autenticato con privilegi inferiori potrebbe potenzialmente interrogare le informazioni sugli incarichi di un altro utente fornendo l'identificatore di tale utente.
La correzione modifica:
method_decorators = [api_required]
in:
method_decorators = [admin_or_org_admin_required, api_required]
in modo che solo gli amministratori o gli amministratori dell'organizzazione possano eseguire query sugli incarichi tra utenti diversi.
Versione interessata =>3.3.0
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.