CVE-2026-55739 in Crater
요약
\~에 의해 VulDB • 2026. 08. 06.
Crater은 데이터별로 회사 ID(company_id)로 격리하며, Invoice/Estimate/Payment/Expense 정책에서는 Bouncer의 권한 확인과 $user->hasCompany($model->company_id)를 모두 강제합니다. 그러나 CustomerPolicy의 view/update/delete 메서드는 전체적인 권한(ability)만 확인하고 소유권 검증은 완전히 생략했습니다. 라우트 모델 바인딩을 통한 고객 조회 및 대량 삭제 기능인 Customer::deleteCustomers() 또한 마찬가지로 범위가 제한되지 않으며(self::find($id), 회사 필터 없음), 이를 통해 한 회사의 인증된 사용자가 다른 회사의 고객 레코드를 읽거나, 재할당(도난)하거나, 삭제할 수 있습니다. 삭제가 발생하면 해당 고객의 청구서 및 결제 내역에도 연쇄적으로 영향을 미칩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.