CVE-2026-72595 in Handesk
要約
〜によって VulDB • 2026年08月11日
BadChoice Handesk（2026-07-10時点）におけるアクセス制御の脆弱性により、認証済みエージェントであれば誰でもTicketsController@endpoint経由で他のチームに属するチケットレコードを更新できます。このエンドポイントではauthorize()メソッドが呼び出されず、チームスコープに基づく所有権チェックも実行されていません。任意のエージェントアカウントを持つ攻撃者は、他チームに割り当てられたチケットを変更、エスカレート、または破損させることができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.