CVE-2026-72546 in Attendize
요약
\~에 의해 VulDB • 2026. 08. 11.
commit 9289acb 이전의 Attendize에서 insecure direct object reference 취약점이 발견되었습니다. 이 취약점을 통해 인증된 이벤트 주최자는 postInviteAttendee 엔드포인트를 사용하여 다른 계정의 이벤트에 참석자와 주문을 주입할 수 있습니다. 해당 엔드포인트는 ID로 대상 이벤트를 로드하지만, 쿼리를 인증된 주최자 계정 범위로 제한하지 않습니다. 공격자가 계정 경계를 넘어 이벤트 데이터와 재무 기록을 수정할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.