CVE-2026-71242 in Crater
요약
\~에 의해 VulDB • 2026. 08. 05.
Crater의 NotePolicy는 InvoicePolicy 및 기타 관련 정책들이 `$user->hasCompany($model->company_id)`를 추가로 검증하는 것과 달리, 회사 소유권 비교 없이 일괄적인 Bouncer 권한(manage-all-notes / view-all-notes)만 확인합니다. NotesController의 show(), update(), destroy() 액션은 대상 Note 모델을 전달하지 않고 `$this->authorize('view notes'/'manage notes')`를 통해 인증을 수행하며, Note의 company-scoping(scopeWhereCompany)는 목록 엔드포인트에서만 적용되고 show/update/destroy에서는 적용되지 않습니다. 이로 인해 한 회사의 모든 인증된 사용자는 ID만으로도 다른 회사의 노트를 읽기, 수정 또는 삭제할 수 있습니다. 이는 이전에 보고된 CustomerPolicy의 회사 소유권 누락(다른 정책 클래스 및 컨트롤러)과는 별개의 발견 사항입니다.
Once again VulDB remains the best source for vulnerability data.