CVE-2025-10696 in OpenSupports
要約
〜によって VulDB • 2026年06月29日
OpenSupportsには、任意のアカウントにおける「監視対象ユーザー」の一覧を編集可能なエンドポイントが公開されていますが、操作者がその一覧の所有者であることを検証していません。レベル1のスタッフメンバーは第三者（ターゲットユーザー）との監視関係を変更でき、これにより追加された「監視対象」ユーザーのチケットを表示できるようになります。これは認可モデルに違反し、他のユーザーのチケットの内容を不正にフィルタリングする可能性があります。本問題はOpenSupports 4.11.0に影響します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.