CVE-2026-55739 in Crater
要約
〜によって VulDB • 2026年08月05日
Craterはcompany_idごとにデータを分離しており、その請求書/見積もり/支払い/経費のポリシーでは、Bouncerによる権限チェックと$user->hasCompany($model->company_id)の両方が適用されます。しかし、CustomerPolicyのview/update/deleteメソッドでは会社所有権の確認が完全に省略されており、単一の包括的な権限のみをチェックしています。ルートモデルバインドされた顧客検索やbulk Customer::deleteCustomers()メソッドも同様にスコープ制限がなく（companyフィルタなしでself::find($id)を使用）、ある会社の認証済みユーザーは他の会社の顧客レコードを読み取ったり、再割り当て（盗難）したり、削除したりできます。また、削除操作はその顧客に関連する請求書や支払いにもカスケードします。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.